AWS Security Hubとは？仕組みや機能、料金、設定方法を解説

1. AWS Security Hubとは

AWS Security Hubは、AWS環境内のセキュリティ情報を集約・分析し、優先して対応すべきリスクを可視化する統合型のクラウドセキュリティサービスです。

脅威・脆弱性・設定不備などの情報を一つの画面で確認できるため、複数のサービスやアカウントを運用している場合でも、環境全体の状況を把握しやすくなります。

2025年12月には、従来の機能を大幅に強化した新しいAWS Security Hubが一般提供されました。主に強化された機能は以下のとおりです。

• 複数サービスの検出結果を関連付ける、ほぼリアルタイムのリスク分析
• 攻撃者が重要なリソースへ到達する可能性のある経路の可視化
• リスクの推移やセキュリティ機能の適用状況を確認できるダッシュボード
• AWS Organizationsを利用した複数アカウントへの一元的な導入・管理

検出結果を一箇所へ集めるだけでなく、複数の検出結果を関連付けてリスクを分析することで、対応の優先順位を判断しやすくなったのが大きな変更点です。

1-1. AWS Security Hubの仕組み

AWS Security Hubは、有効化されているAWSのセキュリティサービスから情報を受け取り、相互の関係を分析してリスクを可視化します。主に連携するサービスと検出内容は以下のとおりです。

AWS Security Hubは、これらの検出結果を集約するだけでなく、対象となるリソースの関連性や悪用される可能性、想定される影響などを分析します。そのうえで、関連する複数の検出結果を結び付け、優先して確認すべき問題を「露出の検出結果（エクスポージャー）」として表示する仕組みです。

攻撃経路も可視化されるため、どの設定や脆弱性から対応すべきか判断しやすくなります。

1-2. AWS Security Hubで解決できる課題

AWS Security Hubは、AWS環境の情報セキュリティ管理で生じやすい以下の課題を解決するために活用できます。

• 検出結果が複数のサービスに分散する
• アラートが多く、すべてを個別に確認できない
• どの問題から対応すべきか判断しにくい
• 複数のアカウントやリージョンを横断的に管理できない

特に、利用するAWSサービスやアカウントが増えるほど、担当者が個別に検出結果を確認・整理する負担も大きくなりがちです。AWS Security Hubは、こうした複雑なAWS環境の情報セキュリティ運用を効率化するうえで役立ちます。

2. AWS Security Hubの主な機能

AWS Security Hubには、主に以下の機能が備わっています。

• 複数のAWSサービスから検出結果を集約する
• リスクを相関分析して優先順位を付ける
• 露出の検出結果と攻撃パスを可視化する
• 未使用のアクセス権限を検出する

それぞれについて詳しく解説します。

2-1. 複数のAWSサービスから検出結果を集約する

AWS Security Hubの中心的な機能は、複数のセキュリティサービスの検出結果を統一されたフォーマットで集約することです。GuardDutyが検出した不審な通信や、Inspectorが発見した脆弱性情報など、異なるサービスの結果を個別に確認する必要がなくなります。

主な連携サービスは以下のとおりです。

• Amazon GuardDuty
• Amazon Inspector
• Amazon Macie
• AWS Security Hub CSPM
• IAM Access Analyzer

2-2. リスクを相関分析して優先順位を付ける

AWS Security Hubは、単に検出結果を並べるだけでなく、複数の情報を組み合わせて相関分析を行い、優先して対応すべきリスクを特定します。

個別のアラートだけでは、それぞれの問題がどのように関連し、AWS環境全体にどの程度の影響を及ぼすのか判断することは容易ではありません。Security Hubでは、関連する検出結果をまとめて評価し、リスクの重要度や対応の優先順位を明確にします。

これにより、重要度の高いリスクから効率的に対応でき、運用担当者の負担軽減にもつながります。

2-3. 露出の検出結果と攻撃パスを可視化する

脆弱性や設定不備、アクセス権限などの情報を関連付け、重要なリソースが攻撃を受けた場合に影響を受ける可能性を 、 「露出の検出結果」として可視化する機能も備えています。

また、攻撃者が脆弱性や設定不備などを悪用し、重要なリソースへ到達する可能性のある経路を「攻撃パス」として確認できます。リスクのつながりを視覚的に把握できるため、優先して対応すべき問題を判断しやすくなることが特徴です。

2-4. 未使用のアクセス権限を検出する

AWS Security Hubは、使用されていないIAM権限やロール、アクセスキー、パスワードなどを検出し、不要な権限を把握しやすくします。

過剰な権限が付与されたままになっていると、認証情報が侵害された際の被害を拡大させる要因になります。未使用のアクセス権限を確認して見直すことで、最小権限の原則に基づいた適切なアクセス管理につなげることが可能です。

AWS環境を安全に運用するには、AWS Security Hubを活用してアクセス権限や設定状況を継続的に確認するとともに、設定不備や見落としがないか第三者の視点で点検することも有効です。

NTT東日本では、運用中のAWS環境の情報セキュリティ設定を第三者の視点で確認する「クラウドセキュリティチェック for AWS」を提供しています。クラウド利用のベストプラクティスに基づき、ツールと目視を組み合わせて診断し、チェック結果をもとに改善策をご提案します。

ID・アクセス管理も診断対象となるため、AWS環境の設定を幅広く見直したい方は、以下の資料からサービスの内容をご確認ください。

「クラウドセキュリティチェック for AWS」の資料ダウンロードはこちらから

3. AWS Security Hubの料金

AWS Security Hubは、使った分だけ費用が発生する従量課金制です。2025年の料金体系リニューアルにより、基本となる「エッセンシャルプラン」の料金に、必要に応じて「アドオン（追加機能）」の料金を合算する仕組みに変更されました。

3-1. 基本となる「エッセンシャルプラン」

エッセンシャルプランは、AWS Security Hubを有効化すると適用される基本のプランです。エッセンシャルプランには、主に以下の機能が含まれます。

• リスクや露出状況の分析
• 脆弱性のスキャンと管理
• リソースの設定状況の評価
• 検出結果の取り込みと一元管理
• ルールに基づく対応の自動化

料金は利用する機能の数ではなく、監視対象となるAWSリソースの数を基準に計算されます。月の途中で監視対象を追加・削除した場合は、月内の監視時間をもとに平均数が算出されます。

3-2. 別途料金が発生する「アドオン」

一方、高度なセキュリティ対策を行う一部の機能はアドオンとして扱われます。これらは基本プランには含まれず、利用した分だけ別途料金が発生します。具体的には以下が該当します。

• 脅威分析：処理したイベント数やログのデータ量に応じて課金
• コードスキャン：スキャンを有効にしたプログラムの数に応じて課金

全体の利用料金は、監視対象となるリソースや利用するアドオン、処理するイベント数・データ量などによって変動します。 実際の金額は利用環境によって異なるため、導入前に公式の料金ページでご確認ください。

参照：AWS Security Hub の料金

4. AWS Security Hubの導入・設定方法

AWS Security Hubは単一アカウントでも利用できます。また、複数のAWSアカウントで利用する場合は、AWS Organizations（複数のAWSアカウントを一元的に管理するサービス）を活用し、委任管理者を指定すれば、組織全体のSecurity Hubを一元的に管理することが可能です。

ここでは、AWS Organizationsを活用して複数アカウントを管理する場合を想定し、基本的な導入・設定の流れを紹介します。

設定後は、必要な情報を取得できているか確認します。あわせて、通知先や担当者、重要度に応じた対応方針など、検出後の運用方法も決めておきましょう。

参照：Security Hub を有効にする

Security Hubの導入後は、設定が意図したとおりに適用されているかを確認するとともに、AWS環境全体の設定状況も定期的に見直すことが大切です。

NTT東日本の「クラウドセキュリティチェック for AWS」では、ツールと目視を組み合わせてAWS環境を診断し、自社では気づきにくい設定不備や改善点を確認できます。チェック後は結果や改善策についても説明するため、導入後の設定状況を客観的に確認したい場合にも活用できます。

実際のチェック項目や診断内容については、以下の資料をご確認ください。

「クラウドセキュリティチェック for AWS」の資料ダウンロードはこちらから

5. AWS Security Hubで検出結果を確認して優先順位を判断する方法

AWS Security Hubでは、次のような手順で検出結果を確認し、効率的に対応の優先順位を判断できます。

1. ダッシュボードで全体のリスクと検出結果を確認する
2. 露出の詳細と攻撃パスを確認する
3. 重要度を確認し、対応順位を決める
4. 自動化ルールを活用して対応を効率化する

それぞれについて詳しく解説します。

5-1. ダッシュボードで全体のリスクと検出結果を確認する

まずは、ダッシュボード画面でアカウント全体のリスク状況を俯瞰しましょう。

AWS Security Hubのダッシュボードには重要度別の検出件数や推移がまとめて表示されるため、個別の詳細を見る前に全体の傾向をつかめます。急激に検出件数が増えている項目があれば、そこに何らかの設定変更や新たな脅威が関係している可能性が高いため、優先的に詳細を確認する対象として扱いましょう。

参照：Security Hub の概要ダッシュボードの操作

5-2. 露出の詳細と攻撃パスを確認する

ダッシュボードで気になる項目を見つけたら、次に露出の検出結果を開いて詳細を確認しましょう。

露出の検出結果では、重要度や関連するリソース、リスクにつながっている特性・シグナルなどを確認できます。さらに、潜在的な攻撃パスを確認すると、攻撃者が関連するリソースへアクセスし、制御する可能性のある経路を視覚的に把握できます。

どのリソースに脆弱性や設定不備などの問題があり、それらがどのようにリスクにつながっているのかを確認しましょう。

参照：露出の検出結果の確認 - AWS Security Hub

5-3. 重要度を確認し、対応順位を決める

AWS Security Hubでは、悪用される可能性と悪用された場合の影響度をもとに、露出の検出結果へ「CRITICAL」「HIGH」「MEDIUM」「LOW」の重要度を割り当てます。

この重要度を確認し、自社の環境や対応方針も踏まえて、実際の対応順位を判断しましょう。

参照：露出検出結果の重要度レベルの決定 - AWS Security Hub

5-4. 自動化ルールを活用して対応を効率化する

繰り返し発生する定型的な検出結果については、自動化ルールを設定し、対応を効率化しましょう。

特定の条件に一致する検出結果に対して、ステータスの変更や通知の送信、担当チームへの割り当てなどを自動化することで、手作業の負担を軽減できます。これにより、担当者は個別の判断が必要な検出結果への対応に集中できます。

参照：Security Hub の自動化

AWS Security Hubで対応すべきリスクを把握したあとは、検出内容を確認しながら必要な対策を進めます。AWS環境全体の設定状況も含めて改善点を整理したい場合は、第三者の診断を活用する方法も有効です。

NTT東日本の「クラウドセキュリティチェック for AWS」では、AWS環境の情報セキュリティ設定を診断し、チェック結果をレポートにまとめて改善策をご説明します。自社だけでは対応方法の判断が難しい場合や、改善すべきポイントを具体的に整理したい場合におすすめです。

サービスの特徴については、以下の資料からご確認ください。

「クラウドセキュリティチェック for AWS」の資料ダウンロードはこちらから

6. AWS Security Hubを運用する際の注意点

AWS Security Hubは、AWS環境のリスクを把握し優先順位を付けて対応するうえで有効なサービスです。しかし、導入するだけで、すべてのリスクを自動的に把握し・対処できるわけではありません。

運用時は、以下の3点に注意しましょう。

• 連携サービスを有効化しなければ検出できないリスクがある
• 複数アカウント・リージョンでは設定を一元化する
• 検出結果の例外・保留・見直しルールを定める

それぞれについて詳しく解説します。

6-1. 連携サービスを有効化しなければリスクを検出できない

AWS Security Hubは、複数のサービスから受け取った情報を集約・分析します。そのため、必要な連携サービスが無効になっていると、そのサービスが検出するリスクをSecurity Hubで把握できません。

利用しているリソースと必要な監視範囲を整理し、サービスごとに対象アカウント・リージョン・機能を選定しましょう。「Coverage findings（カバレッジ検出結果）」機能を使用すれば、GuardDuty、Inspector、Macie、Security Hub CSPMなどの有効化状況を確認できます。

検出件数が少ない場合も、安全だと判断する前に監視範囲の不足がないか確認しましょう。

6-2. 複数アカウント・リージョンでは設定を一元化する

複数のAWSアカウントやリージョンを個別に設定すると、サービスの有効化漏れや、セキュリティ基準・コントロールの差異が生じやすくなります。AWS Organizationsを利用している場合は、委任管理者を指定し、組織全体の設定を一元管理しましょう。

委任管理者はホームリージョンから設定ポリシーを作成し、組織全体、OU、個別アカウントへ適用できます。

新たにアカウントを追加した場合も、意図した設定ポリシーが適用されているか定期的に確認することが大切です。

6-3. 検出結果の例外・保留・見直しルールを定める

AWS Security Hubでは、環境によって多数の検出結果が出力される場合があります。これらには、優先して対応すべき問題だけでなく、業務上の理由からすぐには変更できない設定や、対応に時間を要する問題なども含まれます。

すべての検出結果へ一律に対応しようとすると運用負荷が大きくなるため、例外対応や保留の判断ルールをあらかじめ定めておきましょう。

明確な基準がないまま担当者個人の判断に依存すると、重要度の高いリスクを見落とす可能性があります。例外や保留とした検出結果についても定期的に見直し、現在の環境や運用方針に照らして対応の要否を再確認することが大切です。

AWS環境全体の設定を定期的に見直すには、専門的な知識や確認の工数も必要になります。NTT東日本の「クラウドセキュリティチェック for AWS」では、AWS資格保有者から専任担当者を配置し、AWS環境の情報セキュリティ設定を診断したうえで、結果や改善策をご説明します。

自社での点検にかかる負担を軽減しつつ、改善すべき設定を把握したいとお考えの方は、ぜひ以下の資料からサービス内容をご確認ください。

「クラウドセキュリティチェック for AWS」の資料ダウンロードはこちらから

7. AWS Security HubだけでAWS環境の情報セキュリティ対策は十分？

AWS Security Hubは、AWS環境の脅威や脆弱性、設定不備を継続的に把握するうえで有効です。ただし、自社固有のシステム構成や運用方法まで含めて、情報セキュリティ上の問題がないかを判断できるとは限りません。

そこで検討したいのが、AWS環境に対応した外部事業者による診断です。外部診断では、実際のAWS環境や運用状況を踏まえ、情報セキュリティ上の設定や運用に改善すべき点がないかを評価します。

AWS Security Hubと外部診断の主な違いは、以下のとおりです。

外部診断の対象は提供事業者や契約内容によって異なります。

AWS Security Hubで日常的にリスクを監視し、外部診断で実際の環境や運用状況を定期的に見直すことで、それぞれの特徴を生かした情報セキュリティ対策につなげられます。

8. AWS環境の設定診断ならNTT東日本の「クラウドセキュリティチェック for AWS」

AWS Security Hubを活用すれば、AWS環境のリスクを継続的に検出できます。しかし、検出結果を確認できても、「見落としている設定項目はないか」「現在の設定が自社の構成や運用に合っているか」と不安を感じることもあるでしょう。

NTT東日本の「クラウドセキュリティチェック for AWS」は、こうした不安を第三者の視点から整理するサービスです。1,000名以上のAWS資格保有者（※2026年時点）の中から専任担当者を配置し、事前に利用状況や確認したい範囲をヒアリングしたうえで、ツールと目視を組み合わせてAWS環境を確認します。NTT東日本以外が構築した環境も対象です。

環境確認では、クラウド利用のベストプラクティスやAWS CIS Foundations Benchmarkに基づき、以下の項目を調査します。

• rootユーザーやパスワードの管理
• CloudTrailのログ取得
• 異常発生時の通知
• 外部公開範囲　など

結果はレポートにまとめるだけでなく、改善が必要な理由や対応方法もご説明します。有償で設定修正まで対応するため、自社だけでは改善を進めにくい場合にもおすすめです。

「クラウドセキュリティチェック for AWS」の対象範囲・費用・進め方について相談したい方は、以下のフォームからNTT東日本へお問い合わせください。

クラウドに関するご相談・お問い合わせフォーム

9. AWS Security Hubに関するよくある質問

AWS Security Hubの導入・運用にあたってよくある質問に回答します。

9-1. AWS Security HubとAWS Security Hub CSPMの違いは何ですか？

AWS Security Hub CSPMは「AWS環境の設定を診断するサービス」、AWS Security Hubは「CSPMを含む複数サービスの検出結果を統合・分析するサービス」です。

CSPMは、AWS環境の設定を情報セキュリティ基準やベストプラクティスと照合し、設定の不備を検出します。その結果はSecurity Hubに送られ、GuardDutyやInspectorなどの検出結果と関連付けられます。なお、両者は別サービスであり、AWS環境の設定不備やセキュリティ基準への準拠状況の確認を目的とする場合は、CSPMだけを利用することも可能です。

9-2. AWS Security Hubは検出した問題を自動で修復できますか？

AWS Security Hubの標準機能だけで検出した問題を自動修復することはできません。ただし、自動化ルールを利用すると、条件に一致する検出結果の更新や抑制、チケット作成などを自動化できます。

設定変更や修復まで自動化する場合は、Amazon EventBridge（イベントに応じて処理を実行するサービス）やAWS Lambda（プログラムを実行するサービス）などと連携する仕組みを構築します。

9-3. AWS Security Hubはすべてのアカウント・リージョンで有効化すべきですか？

原則として、AWSリソースを運用しているすべてのアカウントとリージョンで有効化します。一部のみを対象にすると、対象外のアカウントやリージョンのリスクを検出できないためです。複数のアカウントやリージョンで利用する場合は、AWS Organizationsなどを活用することで、設定を一元的に管理できます。

AWS環境全体に設定不備や見落としがないか確認したい場合は、NTT東日本の「クラウドセキュリティチェック for AWS」もご活用ください。AWS資格保有者の専任担当者がツールと目視を組み合わせて診断し、自社では気づきにくい設定上のリスクや改善点を把握できます。

10. まとめ｜AWS Security Hubで検出結果を一元化して重要なリスクから対応しよう

AWS Security Hubは、複数のAWSサービスから得た検出結果を集約・関連付けし、優先して対応すべきリスクを把握するためのサービスです。

AWS Security Hubを活用することで、複数のサービスやアカウントに分散した情報を一元的に把握し、重要度の高いリスクを効率的に特定できます。対応すべき問題が明確になるため、限られた人員でも重要なリスクから対策を進めやすくなるでしょう。

また、AWS Security Hubを活用した継続的なリスク管理に加えて、AWS環境全体の設定不備や見落としがないか客観的に確認することも重要です。NTT東日本の「クラウドセキュリティチェック for AWS」では、ツールと目視を組み合わせてAWS環境を診断し、改善が必要な箇所を優先度とともに整理したうえで、具体的な改善策をご提案します。

AWS環境の設定状況や診断の進め方を具体的に確認したい方は、以下の資料をご確認ください。

「クラウドセキュリティチェック for AWS」の資料ダウンロードはこちらから

• Amazon Web Services（AWS）およびその他のAWS 商標は、米国その他の諸国における、Amazon.com, Inc.またはその関連会社の商標です。