aws-security-assessment-solution v3.0.0

セルフサービス型セキュリティ評価ソリューション (v2.0)

サイバーセキュリティは、多くのCIO、CISO、およびその顧客にとって非常に重要なトピックであり、懸念事項であり続けています。これらの重要な懸念に対応するため、AWSは顧客がアカウントを保護するために使用すべき主要なサービス群を開発しました。Amazon GuardDuty、AWS Security Hub、AWS Config、およびAWS Well-Architected のレビューは、顧客がAWSアカウント上で強固なセキュリティ態勢を維持するのに役立ちます。より多くの組織がクラウドにデプロイするにつれて、特に迅速にデプロイしている場合や、推奨されるAWSサービスをまだ実装していない場合には、クラウド環境の迅速なセキュリティ評価が必要になることがあります。

当社は、顧客にセキュリティ評価レポートを提供するための、低コストで、デプロイが容易で、安全かつ高速なソリューションを開発しました。これらのレポートは、オープンソースプロジェクトProwlerを使用して生成されます。Prowlerは、AWSのベストプラクティスに基づいた時点評価のセキュリティ評価を実行し、顧客のデプロイ環境における潜在的なリスク領域を迅速に特定するのに役立ちます。これらの評価を継続的に実施することに関心がある場合は、Security HubのFoundational Security Best Practices standardを有効にすることをAWSは推奨します。Prowlerの評価結果をSecurity Hubと統合することに関心がある場合は、Prowler Documentationの手順に従うことができます。

注: ProwlerはAWS所有のソリューションではありません。顧客はこのソリューションを実行する前に、Prowlerを独自にレビューする必要があります。Prowlerに関連する依存関係は最新の状態に保つ必要があります。このソリューションは、pipパッケージインストーラーから固定バージョンのProwler（現在は5.41.0）をインストールするため、Prowlerの出力形式が変更されても、警告なしにスキャンが壊れることはありません。新しいリリースに移行するには、2-sat2-codebuild-prowler.yaml内のpip3 install prowler==の行を編集してください。

📕 より詳細なステップバイステップの手順については、SHIP Workshopのモジュール2を参照してください。

目次

• 概要
• パラメータ
• デプロイ
• 単一アカウントのスキャン
  • AWS CloudShell
    • ソリューションのデプロイ
  • AWSコンソール
    • ソリューションのデプロイ
• 複数アカウントのスキャン
  • AWS CloudShell
    • ステップ1: 前提条件ロールのデプロイ
    • ステップ2: SATv2ソリューションのデプロイ
  • AWSコンソール
    • ステップ1: 前提条件ロールのデプロイ
    • ステップ2: AWS Organizationsの委任管理者の有効化
    • ステップ3: SATv2ソリューションのデプロイ
• 結果の確認
  • SATv2ダッシュボード（推奨）
  • Prowlerダッシュボード
• スキャンタイプ
  • 基本スキャン
  • 中級スキャン
  • フルスキャン
• 通知
• レポートの要約
  • Athenaテーブルの構築方法
  • スキャン履歴と重複
• よくある質問（FAQ）
• クリーンアップ
• セキュリティ
• ライセンス

概要

このソリューションはAWS CloudFormationでデプロイされます。デプロイされると、AWS CodeBuildプロジェクトと、Prowlerが生成したレポートを保存するためのAmazon S3バケットが作成されます。その後、AWS Lambda関数を使用してAWS CodeBuildプロジェクトを開始します。

パラメータ（ユーザー入力）のデフォルトでは、単一アカウントで基本スキャンが実行されます。ただし、より広範囲なスキャンを実行したり、複数のアカウントをスキャンしたりするために、異なるパラメータを選択できます。デプロイプロセスは5分未満で完了します。このソリューションのAWS CloudFormationテンプレートは、このGithubリポジトリでレビュー用に提供されています。

テンプレートがデプロイされると、CodeBuildプロジェクトが実行されます。デフォルトの評価は約5分で完了します。セキュリティ評価の完了時間は、リソースの数と選択したスキャンオプションによって異なります。評価の最後に、レポートは作成されたS3バケットに配信されます。

パラメータ

SATv2は、CloudFormationパラメータを更新することでカスタマイズできます。このセクションでは、利用可能なオプションを要約し、詳細情報があるセクションへのリンクを提供します。

デプロイ

このプロジェクトを使用して、AWS Organizations内の複数のアカウント、または単一のアカウントでProwlerを実行できます。AWS CloudShellまたはAWSコンソールを使用するための手順を提供します。開始するにはオプションを選択してください。

単一アカウントのスキャン

セルフサービス型セキュリティ評価ソリューション（SATv2）を単一のアカウントに対して実行するには、以下の手順に従ってください。AWS CLIまたはAWSコンソールのいずれかを選択できます。

AWS CloudShell

AWSコンソール

複数アカウントのスキャン

セルフサービス型セキュリティ評価ソリューション（SAT）は、複数アカウントのスキャンもサポートしています。スキャンを実行する各アカウントに前提条件ロールをデプロイする必要があります。複数のアカウントでSATv2を実行するには、以下の手順に従ってください。AWS CLIまたはAWSコンソールのいずれかを選択できます。

これらの手順では、スタックセット操作の前提条件がすでに整っていることを前提としています。詳細については、AWS CloudFormationユーザーガイドを参照してください。

注: StackSetsは管理アカウントには適用されません。管理アカウントを評価するには、1-sat2-member-roleをCloudFormationスタックとしてデプロイします。

AWS CloudShell

AWSコンソール

結果の確認

ソリューションのデプロイ後、Lambda関数がCodeBuildプロジェクトを開始します。CodeBuildプロジェクトのビルドが完了すると、Prowlerの結果が作成されたAmazon S3バケットにアップロードされます。通知を設定した場合は、Prowlerスキャンが完了するとメールが届きます。レポートを設定した場合は、/reportsフォルダに統合されたcsvファイルが作成されます。

メールアラートを設定していない場合は、CodeBuildコンソールから進行状況を監視できます。

結果を確認するには、次の手順に従います。

1. ProwlerをデプロイしたアカウントでAmazon S3コンソールに移動します。

2. sat2-prowler-prowlerfindingsbucket- で始まるバケットを選択します。

3. 確認したい出力形式のフォルダを選択し、次に確認したい実行の scan_date= フォルダと scan_time= フォルダを選択します。

   各出力形式には独自のトップレベルフォルダがあり、実行ごとにその下の scan_date=YYYY-MM-DD/scan_time=HHMMSS サブフォルダに書き込まれます。時刻はスキャンが開始されたUTC時刻です:

   root@kitploit:~

   csv/scan_date=2026-09-01/scan_time=204955/         ProwlerのCSV検出結果(書き込まれたまま)
   html/scan_date=2026-09-01/scan_time=204955/        アカウントごとのHTMLレポート
   json/scan_date=2026-09-01/scan_time=204955/        アカウントごとのJSON
   ocsf-json/scan_date=2026-09-01/scan_time=204955/   アカウントごとのOCSF JSON
   parquet/scan_date=2026-09-01/scan_time=204955/     Athenaクエリのコピー
   compliance/scan_date=2026-09-01/scan_time=204955/  コンプライアンスCSV(生成された場合)
   reports/                                           統合CSVとダッシュボード
   

   実行ごとに独自のフォルダが作成されるため、ソリューションを再度実行しても、新しい検出結果が古い検出結果と混ざることはありません。同じ日に複数回実行した場合も同様です。以前の実行結果は比較できるように保持されます。

4. 各アカウントについて、prowler-output-<aws-account-id>-<datetime> 形式の4種類のファイルタイプ(csv、html、json、json-ocsf)があります。

5. htmlオブジェクトの1つを選択します。

6. Open を選択します。

   

7. レポートが新しいウィンドウで開きます。フィルタを使用して、検出結果を特定し、優先順位を付けることができます。

   

SATv2ダッシュボード(推奨)

レポートを有効にした場合、静的HTMLダッシュボードがレポートフォルダに配置されます。

1. satv2-dashboard.html オブジェクトを選択し、Open を選択します。
2. 統合csvを選択し、Actions、Share with a presigned URL の順に選択します。

   注: 署名付きURLを他の人と共有しないでください。署名付きURLは、セキュリティ資格情報を使用してオブジェクトをダウンロードするための時間制限付き権限を付与します。URLはブラウザに入力するか、プログラムでオブジェクトをダウンロードするために使用できます。署名付きURLで使用される資格情報は、URLを生成したAWSユーザーのものです。詳細については、署名付きURLを使用したオブジェクトの共有を参照してください。

3. number of minutes に 1 と入力します。
4. URLをsatv2-dashboard.htmlページに貼り付けます。
5. img/satv2-dashboard.pngでダッシュボード出力の例を確認します。

Prowlerダッシュボード

Prowlerには、結果を確認するための組み込みダッシュボードがあります。Prowlerダッシュボードを使用するには、Prowlerをローカルにインストールし、Prowlerの結果をローカルにダウンロードする必要があります。

AWS Command Line Interface(CLI)と有効な資格情報が必要です。詳細については、AWS Command Line interfaceユーザーガイドを参照してください。

1. Prowlerをインストールします。詳細については、Prowlerインストール手順を参照してください。

   root@kitploit:~

   pip install prowler
   

2. Amazon S3バケットの名前を取得します。バケット名はCloudFormationコンソールのProwlerFindingsBucketリソースにあります。または、S3コンソールに移動して、{stack_name}-prowlerfindingsbucket-{ID} 形式のバケットを探します。

3. S3からCSVとコンプライアンスデータをダウンロードします。フルスキャンを実行していない場合は、コンプライアンスデータがない場合があります。{bucket_name} をバケットの名前に、{scan_date} と {scan_time} をロードする実行に置き換えます(例: 2026-09-01 と 204955)。利用可能な実行を一覧表示するには、aws s3 ls s3://{bucket_name}/csv/scan_date={scan_date}/ を使用します。

   root@kitploit:~

   aws s3 sync s3://{bucket_name}/compliance/scan_date={scan_date}/scan_time={scan_time}/ output/compliance/
   aws s3 sync s3://{bucket_name}/csv/scan_date={scan_date}/scan_time={scan_time}/ output/
   

   注: 一度に1つの実行を同期してください。Prowlerダッシュボードは output/*.csv を読み取り、サブフォルダを検索しないため、scan_date= フォルダ自体を output/ にコピーすると、空のダッシュボードが生成されます。2つの実行を同時にロードすると、各検出結果が2回表示されます。

4. ダッシュボードを実行します。次のコマンドを使用してダッシュボードを実行します。デフォルトでは、http://127.0.0.1:11666/ で起動します。

   root@kitploit:~

   prowler dashboard
   

スキャンタイプ

デフォルトでは、SAT2は13のチェックを含む基本スキャンを実行します。別のProwlerScanTypeパラメータ値を選択することで、中級またはフルチェックを実行することを選択できます。

たとえば、中級スキャンオプションを使用した単一アカウントスキャンでは、次のコマンドを使用します:```bash aws cloudformation deploy --template-file 2-sat2-codebuild-prowler.yaml
--stack-name sat2-prowler
--capabilities CAPABILITY_NAMED_IAM
--s3-bucket $TEMPLATE_BUCKET
--parameter-overrides ProwlerScanType=Intermediate

>注: `--s3-bucket` オプションは必須です。テンプレートが51,200バイトを超えるため、CloudFormationがインラインで受け付ける上限を超えているからです。`$TEMPLATE_BUCKET` は、上記のCloudShellデプロイ手順で作成したステージングバケットです。これは、このREADME内のすべての `aws cloudformation deploy` の例に適用されます。

チェックは頻繁に追加されるため、最新のチェックを確認するには `prowler aws --list-checks` コマンドを実行してください。各チェックレベルの例を以下に示します。

### 基本スキャン
チェックの一覧を確認するには、[基本チェック](https://github.com/awslabs/aws-security-assessment-solution/blob/main/checks/basic_checks.txt) を参照してください。

- 手動チェック - 現在の連絡先情報を維持する。
- 廃止されたLambdaランタイムを検出する。
- CloudTrailがすべてのリージョンで有効になっていることを確認する。
- AWS Configがすべてのリージョンで有効になっていることを確認する。
- セキュリティグループが任意のポートへの0.0.0.0/0または::/0からのインバウンドを許可していないことを確認する。
- GuardDutyが有効かどうかを確認する。
- IAMパスワードポリシーが少なくとも1つの小文字を要求することを確認する。
- IAMパスワードポリシーが少なくとも1つの数字を要求することを確認する。
- IAMパスワードポリシーが少なくとも1つの記号を要求することを確認する。
- IAMパスワードポリシーが少なくとも1つの大文字を要求することを確認する。
- ルートアカウントでMFAが有効になっていることを確認する。
- アクセスキーが90日以内にローテーションされていることを確認する。
- EveryoneまたはAny AWS userに公開されているS3バケットがないことを確認する。

### 中級スキャン
チェックの一覧を確認するには、[中級チェック](https://github.com/awslabs/aws-security-assessment-solution/blob/main/checks/intermediate_checks.txt) を参照してください。

このスキャンでは、Prowlerのスキャンオプションに `--severity critical high` が追加されます。これを選択すると、Prowlerは重大度がcriticalまたはhighとなるすべてのセキュリティチェックを実行します。

### フルスキャン
チェックの一覧を確認するには、[フルチェック](https://github.com/awslabs/aws-security-assessment-solution/blob/main/checks/full_checks.txt) を参照してください。

このオプションでは、Prowlerスキャンに追加のパラメータは追加されません。その結果、Prowlerは500以上のチェックを実行します。

フルスキャンを使用して、スキャンを任意にカスタマイズすることもできます。

**ProwlerScanType** には **Full** を選択してください。

**ProwlerOptions** には、チェックを追加してください。たとえば、GuardDutyが有効かどうかのみをチェックする場合は、次のように入力します:

`aws --ignore-exit-code-3 -c guardduty_is_enabled`

## 通知

CloudFormationテンプレートをデプロイする際に、EmailAddressパラメータでメールアドレスを任意に指定できます。これにより、SNSトピックが作成され、CodeBuildジョブが完了したときにメールが送信されます。

これは、長時間のスキャンや複数のアカウントにまたがるスキャンを実行する場合に役立ちます。

たとえば、メール通知付きの単一アカウントスキャンでは、次のコマンドを使用します:```bash
aws cloudformation deploy --template-file 2-sat2-codebuild-prowler.yaml \
--stack-name sat2-prowler \
--capabilities CAPABILITY_NAMED_IAM \
--s3-bucket $TEMPLATE_BUCKET \
--parameter-overrides [email protected]

オプションのEmailAddressパラメータを設定するかどうかに関係なく、CodeBuildコンソールで進捗状況を確認できます。

1. CodeBuildコンソールに移動します。

2. ナビゲーションペインで、ビルドの下にあるビルドプロジェクトを選択します。

3. ProwlerCodeBuild- で始まるビルドプロジェクトを選択します。

4. [ビルド履歴]で、最後の実行が表示されます。

   

5. 必要に応じて、ビルドを開始を選択して、ソリューションのデプロイ時に選択したオプションで別のスキャンを実行できます。

レポートの要約

オプションで、複数のProwlerスキャン結果を1つのファイルに要約するレポートを有効にできます。これは、AWS Organizations内の複数のアカウントにわたってProwlerを実行する場合に役立ちます。レポート要約機能はデフォルトでオフになっています。レポートを有効にするには、CloudFormationテンプレートのデプロイ時にReportingパラメータをtrueに設定します。これにより、Athena WorkGroup、Glueテーブルが作成され、結果を統合するクエリが自動的に実行されます。要約されたcsvファイルは、Prowlerの結果と同じS3バケットの/reportsフォルダに配置されます。

レポートが有効な状態でメールアドレスを指定すると、Athenaクエリが完了したときに2通目のメールが届きます。

Athenaテーブルの構築方法

Athenaは、ProwlerのCSVではなく、parquet/コピーの検出結果をクエリします。CodeBuildプロジェクトは、各CSVをアップロード前にParquetに変換し、Glueテーブルprowlerはparquet/を指します。

この変換が存在する理由は、Prowler 5.17.0以降ではチェックメタデータに複数行のMarkdownが含まれており、DESCRIPTION、RISK、REMEDIATION_*フィールドに改行が含まれるためです。Prowlerはこれらのフィールドを正しく引用符で囲みますが、AthenaはHiveのTextInputFormatを通じてCSVを読み取るため、SerDeが実行される前にレコードが改行で分割されます。したがって、CSVバックアップのテーブルは、検出結果ごとに1行ではなく物理的な行ごとに1行を返し、最初の複数行フィールドに続く列を静かにドロップします。Parquetは改行をレコード境界として使用しないため、テキストはそのまま保持されます。Parquetは繰り返される修復テキストも大幅に圧縮するため、クエリのコストが低くなります。116 MBのCSVセットは、約3 MBのParquetになります。

csv/フォルダはProwlerが書き込んだままの状態で残されるため、Prowlerダッシュボードと既存のCSVツールは引き続き機能します。

スキャン履歴と重複

テーブルはscan_dateとscan_timeでパーティション分割されているため、ソリューションの実行ごとに独自のパーティションが作成されます。これにより、次の2つのことが導き出されます。

• /reports内の統合CSVは最新の実行のみを対象とするため、ソリューションを再実行しても検出結果が二重にカウントされることはなく、存在しなくなった検出結果がレポートに残ることもありません。
• 以前の実行はクエリ可能なままです。scan_dateとscan_timeは通常の列であるため、実行間で結果を比較できます。Prowlerスキャントレンド保存済みクエリはこれを実行し、実行ごとに1行を返します。

日付のみでのパーティション分割では不十分です。同じ日に2回目のスキャンを実行すると同じパーティションに書き込まれ、その検出結果は以前の実行のものと置き換わるのではなくマージされます。リソースが削除された、アカウントが組織から離脱した、メンバーロールが機能しなくなった、スキャンタイプが絞り込まれたなどの理由で、新しいスキャンが報告しなくなった検出結果は、レポートに残り、最新であるかのように見えます。

新しいパーティションは自動的に登録されます。レポート用Lambdaは、統合クエリを実行する前にMSCK REPAIR TABLEを実行するため、スケジュールするクローラーも手動で追加するものもありません。

独自のAthenaクエリを作成する場合は、単一の実行に制限してください。そうしないと、バケット内のすべてのスキャンが一度に集計されます。両方のキーは固定幅であるため、連結して比較すると実行が時系列で並べ替えられます。```sql SELECT severity, count(*) FROM "{bucket_name}"."prowler" WHERE status = 'FAIL' AND concat(scan_date, scan_time) = ( SELECT max(concat(scan_date, scan_time)) FROM "{bucket_name}"."prowler" ) GROUP BY severity

1日の全実行をまたいでクエリを実行するには、`scan_date`のみでフィルタリングします。

>注: 以前の`scan_date`のみのレイアウトを使用していたデプロイメントをアップグレードする場合、アップグレード前の結果は新しいテーブルには表示されません。そのS3パスに`scan_time=`レベルがないためです。データはS3上では変更されていません。次のスキャンでテーブルを再構築するか、古いファイルを`scan_time=`フォルダに移動してください。例: `aws s3 mv s3://{bucket_name}/parquet/scan_date={scan_date}/ s3://{bucket_name}/parquet/scan_date={scan_date}/scan_time=000000/ --recursive`、その後Athenaで`MSCK REPAIR TABLE prowler`を実行します。

例えば、レポートとメールアラートを有効にしたマルチアカウントスキャンでは、次のコマンドを使用します:```bash
aws cloudformation deploy --template-file 2-sat2-codebuild-prowler.yaml \
--stack-name sat2-prowler \
--capabilities CAPABILITY_NAMED_IAM \
--s3-bucket $TEMPLATE_BUCKET \
--parameter-overrides MultiAccountScan=true Reporting=true [email protected]

例として、2つの保存済みクエリが作成されます:

クエリを確認して実行するには、次の手順に従います:

1. Amazon Athena コンソールに移動します。

2. sat2-prowler-* で始まるワークグループを選択します。

3. 保存済みクエリ タブを選択します。

4. ID を選択して、実行するクエリを選択します。

   

5. 実行 を選択してクエリを実行します。

   

よくある質問 (FAQ)

1. 費用はかかりますか?
   • このソリューションは AWS 無料利用枠 内で実行されるように設計されています。
   • Amazon CodeBuild の場合、お客様は月に100ビルド分が無料で利用できます。
   • CodeBuild、S3、Lambda で既に無料利用枠を超えているお客様の場合、このソリューションの実行コストは1ドル未満です。
2. これは継続的なモニタリングおよびレポートツールですか?
   • いいえ。これは1回限りの評価です。継続的な評価には AWS Security Hub の使用をお勧めします。
3. GuardDuty、Security Hub、CloudWatch などと統合されますか?
   • いいえ。このブログ の手順に従って、Prowler と Security Hub を統合できます。
4. レポートの問題をどのように修復すればよいですか?
   • 一般的に、問題はレポートに明確に識別可能な修正方法とともに記載されているはずです。各ツール (Prowler) の公開ドキュメントも併せてご確認ください。不十分な場合は、AWS アカウントチームまたは AWS サポート にお問い合わせいただき、レポートの理解と問題の修復に向けた支援を受けてください。
5. SATv2 について Prowler はどのような検出結果を報告しますか?

   チェック	緩和策
   Lambda 関数が API 操作を呼び出していることが CloudTrail によって記録されているか確認します。	CloudTrail は AWS アカウントレベルの設定です。CloudTrail は SATv2 とは独立して有効化する必要があります。
   CloudFormation スタックの終了保護を有効にします	SATv2 は特定の時点で実行され、その後削除されることを目的としています。スタックが終了された場合でも、検出結果は S3 バケットに保持されます。
   CloudWatch ロググループが AWS KMS によって保護されているか確認します。	ロググループのデータは CloudWatch Logs で常に暗号化されています。デフォルトでは、CloudWatch Logs は保存中のログデータにサーバー側の暗号化を使用します。コスト削減のため、カスタマー管理の KMS キーは設定されていません。
   CloudWatch ロググループに特定の日数の保持ポリシーがあるか確認します。	ロググループの保持期間は設計上7日に設定されています。このチェックは、保持期間が1年未満のロググループを探します。
   S3 バケットで KMS 暗号化が有効になっているか確認します。	すべての Amazon S3 バケットにはデフォルトで暗号化が設定されており、オブジェクトは Amazon S3 マネージドキー (SSE-S3) を使用したサーバー側の暗号化によって自動的に暗号化されます。コスト削減のため、カスタマー管理の KMS キーは設定されていません。
   S3 バケットで MFA Delete が有効になっていないか確認します。	Prowler の評価結果は再生成できるため、MFA Delete は必要ありません。
   S3 バケットでオブジェクトロックが有効になっているか確認します	Prowler の評価結果は再生成できるため、S3 オブジェクトロックは必要ありません。
   S3 バケットでサーバーアクセスログが有効になっているか確認します	Prowler の評価結果にはサーバーアクセスログは必要ありません。

クリーンアップ

ソリューションを実行した後、不要になったリソースを削除するために CloudFormation スタックを削除する必要があります。Prowler スキャン結果が保存されている S3 バケットは残ります。

アカウントからセキュリティ評価ソリューションを削除するには、次の手順に従います。

1. ツールを実行したアカウント (ProwlerAccountID) の AWS CloudFormation コンソール に移動します。

2. ナビゲーションペインで スタック を選択します。

3. sat2-prowler スタックを選択します。

4. 削除 を選択します。

複数のアカウントをスキャンするためにメンバーロールの StackSet をデプロイした場合は、次の手順に従います。

1. メンバーロールの StackSet を作成したアカウントの AWS CloudFormation コンソール に移動します。

2. ナビゲーションペインで StackSets を選択します。

3. sat2-member-roles StackSet を選択します。

4. アクション を選択し、スタックセットからスタックを削除 を選択します。

5. StackSet を作成したときと同じ AWS OU ID を指定します。

6. リージョンの指定 で、すべてのリージョンを追加 を選択します。

7. 次へ を選択し、送信 を選択します。

変更が完了したら、StackSet を削除できます。

1. sat2-member-roles StackSet を選択します。

2. アクション を選択し、StackSet の削除 を選択します。

スキャン結果が保存されている Amazon S3 バケットを削除する場合は、Amazon S3 ユーザーガイド の手順に従ってオブジェクトとバケットを削除します。ソリューションを再度実行すると、結果用の新しい S3 バケットが作成されます。

セキュリティ

詳細については、CONTRIBUTING を参照してください。

ライセンス

このプロジェクトは Apache-2.0 ライセンスの下でライセンスされています。