AWS セキュリティサービス - AWS セキュリティサービス 設定優先度ランキング

AWS アカウントを作成したら、以下の順番でセキュリティサービスを有効化します。

上位ほど「設定しないリスクが高い」「設定が簡単」サービスです。

優先度	サービス	役割	運用負荷
1	CloudTrail	全 API 呼び出しの監査ログ	低（有効化のみ）
2	AWS Config	リソース構成の変更履歴と準拠チェック	中（ルール追加・違反対応）
3	Security Hub	検出結果の集約・CIS ベンチマーク自動評価	中〜高（findings のトリアージ）
4	GuardDuty	脅威検知（不正 API・暗号マイニング・C2 通信等）	中（アラート調査・対応）
5	Inspector	EC2/ECR/Lambda の脆弱性スキャン	中（検出された CVE の優先度判断・パッチ適用）
6	WAF	HTTP レイヤーの攻撃防御（SQLi, XSS, Bot 等）	高（誤検知チューニング・ルール更新）
7	Network Firewall	VPC レベルのネットワーク IDS/IPS	高（Suricata ルール管理・トラフィック分析）

サービス利用料は安くても、運用コストは別物です。 CloudTrail や GuardDuty の利用料自体は小さい（月数ドル〜数十ドル程度）ですが、サービスを増やすほどアラート件数・トリアージ工数・チューニング作業が飛躍的に増えます。

有効化だけして放置するのが最も危険なパターンです。

必須: 優先度 1〜4 は全アカウントで必須。

有効化自体はワンクリックだが、アラートの通知先と対応フローを同時に決めておくこと。

推奨: 優先度 5 は EC2/コンテナを使うなら有効化。

必須（公開ワークロード）: 優先度 6 — CloudFront / ALB でインターネットに公開しているなら WAF は必須。

AWS WAF のほか、Cloudflare WAF で代替する選択肢もある。

いずれの場合もルールの継続的チューニングが必要。

大規模向け: 優先度 7 は VPC 間トラフィック検査が必要な場合に検討。

専任のネットワークセキュリティ担当が必要になる規模感。

これらのサービスは単独ではなく、連携させることで真価を発揮します。

CloudTrail ─→ S3（長期保管）
    │
    ├─→ CloudWatch Logs ─→ メトリクスフィルタ ─→ SNS アラート
    │
    └─→ EventBridge ─→ Lambda（自動修復）

AWS Config ─→ Security Hub（準拠状況集約）
GuardDuty  ─→ Security Hub（脅威検出集約）
Inspector  ─→ Security Hub（脆弱性集約）

Security Hub ─→ EventBridge ─→ Slack 通知 / PagerDuty / 自動修復 Lambda

Security Hub を中心に据えるのがポイントです。

Config・GuardDuty・Inspector の検出結果が Security Hub に集約され、そこから EventBridge 経由で通知・自動対応につなげる構成が AWS の推奨アーキテクチャです。