GuardDuty / Inspector / Security Hub の有効化単位と役割分担

「1リージョンに1つ」の意味

GuardDuty の Detector は「1リージョンに1つしか作れない」。これを組織全体で1つと読むと、新規アカウントを作った時点ですでに有効になっているように思えるが、そうではない。1つなのはアカウント単位での話であって、アカウント A の ap-northeast-1 の Detector とアカウント B の ap-northeast-1 の Detector は別物になる。

つまり新規アカウントは、GuardDuty も Inspector も Security Hub も無効の状態から始まる。

例外は AWS Organizations で委任管理者を立てて「新規アカウントの自動有効化」を入れてある場合で、このときはアカウント作成と同時に有効化されメンバー登録される。メンバーアカウント側にも Detector の実体はあり、委任管理者からはそれが束ねて見えているだけ。

Inspector については、組織ポリシー経由の場合に新規アカウントへの反映が即時ではない挙動がある（Inspector は組織ポリシー配下だと新規アカウントへの反映が即時ではない）。

3サービスの役割分担

表1: 3サービスの有効化単位と役割

サービス	有効化の単位	役割
GuardDuty	アカウント × リージョン（Detector 1つ）	脅威検知。VPC Flow Logs / CloudTrail / DNS ログを裏で読んで異常を出す
Inspector	アカウント × リージョン（スキャンタイプ単位で ON/OFF）	脆弱性スキャン。EC2 / ECR イメージ / Lambda の CVE を出す
Security Hub	アカウント × リージョン	検出結果の集約とセキュリティ基準でのスコアリング

検出するのが GuardDuty と Inspector、集めるのが Security Hub という分担になっている。Security Hub だけ入れても検出そのものは増えず、逆に GuardDuty と Inspector だけ入れると結果が各コンソールに散らばる。3つ揃えて意味が出る。

新規アカウントで見る場所

自動有効化されるのか手で入れるのかは、委任管理者アカウントの次を見れば決まる。

• GuardDuty: Settings → Accounts の Auto-enable
• Security Hub: Settings → Accounts の自動有効化と、finding aggregation の集約リージョン
• Inspector: Account management の組織設定（スキャンタイプごと）

自動で有効になる場合でも課金は新規アカウント分が増える。特に GuardDuty の Flow Logs 解析と Inspector の EC2 スキャンは台数に比例するので、アカウントを増やす前に見積もっておく。