Security Hub の検出結果を S3 へ CSV か OCSF で出力、全検出結果ページから
Security Hub の検出結果を監査や報告に使う担当者向けに、S3へのCSV・JSON（OCSF）出力を説明する。フィルターの適用範囲、KMS・権限の前提と、定期抽出を置き換える前の確認点をまとめる。
Security Hub の
Security Hub のコンソールで検出結果を表示しているページから、その検出結果を自分のアカウントの S3 バケットへ書き出せるようになった。形式は CSV か JSON の 2 択で、JSON は Open Cybersecurity Schema Framework（OCSF）の形になる。AWS が2026年10月9日に What’s New で告知したもので、Security Hub が提供されているすべての AWS リージョンで使える。
関係するのは、監査の証跡やコンプライアンス報告のために、検出結果をコンソールの外へ持ち出していたセキュリティ担当者だ。発表はこの機能を、抽出パイプラインを自前で組んで保守しなくても済む手段として位置づけている。ただし発表が説明している操作は「見ているページからオンデマンドで開始する」ものだけである。定期的に自動で書き出している仕組みをすぐ止めてよいかは、発表の文面からは判断できない。
ページとフィルターを出力範囲にする
発表によれば、エクスポートは Security Hub コンソールのすべての検出結果ページから始められる。名前が挙がっているのは次の 6 ページだ。
- Threats
- Exposure
- Vulnerabilities
- Posture Management
- Sensitive Data
- All Findings
公式User Guideの「How findings export works」によると、出力範囲は開始したページと、そのページに適用したフィルターで決まる。脅威を対象にするなら Threats、領域を横断して選ぶなら All Findings を起点にする。画面に表示されている行だけをコピーする機能ではなく、フィルターに合う検出結果を書き出す。
フィルターはOCSFのフィールドに適用される。元のページの条件のうち検出結果に適用できないものは引き継がれず、コンソールがその条件を警告する。Create export画面で範囲を確認し、警告があれば元のページで条件を調整したい。監査に提出するファイルなら、条件と出力の内容が合うことも確認する。
CSV と OCSF を受け取り手で選ぶ
発表は二つの形式の使い分けを用途で書いている。表にすると次のとおり。
| 形式 | 中身の形 | 発表が挙げる用途 |
|---|---|---|
| CSV | 表形式 | スプレッドシートで検出結果を確認・共有したいとき |
| JSON | OCSF 形式 | 検出結果を OCSF の形で必要とするとき |
| 共通 | 自分のアカウントの S3 バケットへ出力 | コンプライアンス報告、監査証跡など、コンソールの外で使う場面 |
出典：AWS What’s New「AWS Security Hub now exports findings to S3 in CSV or JSON format」（2026年10月9日）
判断の軸は「誰が、何で読むか」になる。監査人や他部門の担当者が表計算ソフトで開いて眺めるなら CSV が素直だ。受け取る側が OCSF を前提にしたシステムで、検出結果をそのスキーマのまま取り込みたいなら JSON を選ぶことになる。同じ検出結果を両方の用途に回したい場合、形式ごとに書き出しを分けて実行する必要があるのかどうかは発表からは読み取れない。
S3・KMS・実行者の権限をそろえる
バケットを用意するだけでは書き出せない。User Guideの「Prerequisites」はS3バケット、暗号化に使うAWS KMSキー、Security Hubの書き込みを許可する両方のポリシー、エクスポートを作成する実行者のIAM権限を前提としている。出力先のアクセス権と保持方針も、監査の要件に合わせて決める必要がある。
逆に、毎日決まった時刻に書き出して別のシステムへ流している、出力の前に項目を加工している、といったパイプラインは事情が違う。発表が述べているのはオンデマンドの開始だけで、スケジュール実行や API からの起動ができるかは書かれていない。今の仕組みを止めるのは、自動化の手段があると確認できてからにしたい。
人が監査や報告の締め前に必要な範囲を取り出す運用なら、自前の抽出コードを置き換える候補になる。定期実行や加工が必要なパイプラインは、同じ要件を満たせるか別に確かめたい。
コンソールから書き出す順番
- 検出結果ページを開いてフィルターを適用し、Exportを選ぶ。
- Create export画面で出力範囲と、引き継がれない条件の警告を確認する。
- CSVかJSON（OCSF）を選び、CSVの場合は必要な列を指定する。JSONは検出結果全体を含む。
- 出力先バケットとKMSキーを設定し、Create exportで開始する。
書き出しはバックグラウンドで進む。完了まで待ち、Exportsページで状態と出力を確認する。同じアカウントで別のエクスポートが実行中なら、終了を待つかキャンセルしてから開始する。
発表だけでは決められない料金やファイル分割の条件もある。試行時には出力の内容と監査要件を照合してから、既存の抽出処理を止めるか判断したい。