同一アカウント・RegionでAmazon InspectorとSecurity Hub CSPMを有効化し、連携は停止していない。対象はInspector scoreを確認できるサポート対象Amazon Linux EC2のパッケージ脆弱性で、未修復の検出結果を調査している。
承認済みの優先順位基準は、重要度・悪用可能性・ネットワーク到達性・業務影響を組み合わせる。資産の担当者と重要性が分かっており、運用担当は修復担当へ証跡付きで引き継ぎ、修復結果を追跡したい。
要件に合う優先順位付けと状態管理はどれか。
環境と資産の影響も踏まえて優先度を決め、識別子と証跡付きで担当者へ引き継ぎ、修復後の実評価を確認する。
詳細解説
抑制は既定表示から結果を隠すための制御で、脆弱性を修復したりfindingを閉じたりする処理ではない。未修復の問題を表示件数だけで解決済みと扱わない。
承認済み基準で評価し、findingと資産の識別子、修復案を保持して担当者へ引き継ぐ。NOTIFIEDは通知済みを表し、修復済みの証拠ではない。修復後の再評価も別に確認する。
base scoreは脆弱性そのものの特性を表す指標である。本問の優先順位基準は環境と業務影響も要求するため、base score単独で対応順を固定しない。
通知と修復は別である。RESOLVEDという調査状態を手動設定しても、脆弱なパッケージを更新した証拠や再評価結果にはならない。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
承認された検証用findingで、Inspector側のCVE・score・対象EC2とSecurity Hub CSPMの同じ結果を照合する。優先度の根拠と引き継ぎ記録を残し、Workflow.Status=NOTIFIEDと実際の修復・Inspector再評価結果を別々に確認する。
参考にした公式資料
確認できる内容
finding・CVE・対象資産・担当者が対応し、scoreと環境・業務影響を含む優先順位の根拠が残る。NOTIFIEDや抑制だけでは修復完了と扱わず、修復後のパッケージ状態とInspectorの結果を確認できる。
理解のポイント
- Inspector score
- Security Hub CSPM
- Workflow.Status
確認時の注意
- 確認環境: AWS公式SOA-C03試験ガイドとAWS公式ドキュメントの確認
- AWS公式SOA-C03試験ガイドと各サービスの公式ドキュメントを確認する。
基礎のおさらい
対象サービスとfindingを照合する
本問はInspectorのEC2パッケージ脆弱性とSecurity Hub CSPMのASFF連携を対象にする。同じアカウント・Regionで有効化と連携を確認し、CVEと資産の識別子を保持して結果を照合する。新しいSecurity Hubの別APIやInspector Code Securityの結果まで同じ連携・状態項目で扱えるとはしない。
基本評価値と環境・業務影響を分ける
CVSS base scoreは脆弱性そのものの特性を表す。Inspector scoreはEC2のネットワーク到達性や悪用可能性も関連付けた評価であり、資産の業務重要性は承認済み基準で別途評価する。Inspector scoreを全OS・全finding種別に一律で利用できるとはせず、本問の対応対象で根拠を確認する。
引き継ぎ状態と修復完了を区別する
Workflow.Status=NOTIFIEDは資産担当者へ通知した状態である。手動のRESOLVED設定はパッチ実行を行わず、Inspectorの抑制も修復やcloseを行わない。修復案・担当者・識別子・根拠を保持し、修復後に実パッケージ状態と再評価を確認する。InspectorでcloseされたfindingはCSPMでarchiveされるため、提供側状態と調査状態も区別する。