AWS Security Hub Network Scanning が AWS GovCloud (US) で利用可能に

AWS Security Hub のネットワーク・スキャニング機能が、AWS GovCloud (US) リージョンでもサポートされました。この機能は、インターネットからリソースに対して実際にプローブ（探索）を行い、外部から到達可能な公開IPアドレス、公開ポート、およびその背後で動作しているサービスを特定します。Security Hub Essentials に含まれており、追加料金なしで利用可能です。

ネットワーク構成の「設定」と「実態」の乖離を埋める強力な機能

従来の Security Group やルートテーブルの構成分析による到達性チェックは、「設定上は到達可能である可能性がある」という理論上のリスクを示してくれますが、実際にサービスが稼働しており、外部からアクセス可能な状態にあるかという「実態」までは確認できませんでした。Network Scanning は、インターネットから実際にプローブを送信することで、この**「設定と実態の乖離」**を可視化できる点が非常に強力です。

日本国内リージョンの状況

リサーチ結果に基づくと、東京 (ap-northeast-1) および 大阪 (ap-northeast-3) リージョンにおいても、本機能はすでに利用可能です。GovCloud への展開は、そのサポート範囲の拡大を継続していることを示しています。

運用上のアドバイス

• リスクの相関分析: 検出されたポート情報は Security Hub の Finding（検出結果）として生成されます。さらに「Security Hub Exposures」機能と組み合わせることで、単一のポート開放だけでなく、リソース構成全体から見た広範なリスクを自動的に相関分析できるため、設定ミスによる意図しない公開サービスを早期に発見できます。
• コスト面: Security Hub Essentials に含まれているため、追加コストなしで利用可能です。コストを気にせず、定期的なスキャンを有効化しておくことを推奨します。

次のアクション

まずは、既存の Security Hub が有効化されているアカウントで、Network Scanning が有効になっているか確認してください。新規ユーザーの場合はデフォルトでオンになっています。意図的にオフにしている場合は、組織（Organization）レベルの Configuration Policy を使用して、一報的に有効化することを検討しましょう。

参照資料: AWS Security Hub User Guide AWS Security Hub 製品ページ