【CIS v3.0/v5.0】AWS セキュリティ監査ツール徹底比較：Security Hub・CFn Guard・Prowler 全62項目の対応比較

📅 作成日: 2024/04/21, 更新日: 2026/10/29 ⏱️ 読了目安約28分 (13,988文字)

CIS AWS Foundations Benchmark v3.0.0 / v5.0.0 に対する AWS Security Hub CSPM、CFn Guard、Prowler (v4/v5) の全62項目対応マトリクス。CIS v1.4.0 から v3.0/v5.0 へ移行した際に CloudWatch アラーム14項目が自動評価から外れる落とし穴と、3層監査アーキテクチャを解説します。

改訂履歴
先に結論：Security Hub の v3.0 / v5.0 対応後も Prowler と CFn Guard の併用が欠かせない理由
1. 3つのセキュリティチェックツールの対応バージョンと特性比較
2. 現場で迷わない！CIS ベンチマーク監査ツールの選定・移行フロー
1. 各ツールの実行コマンド例（v3.0.0 / v5.0.0 対応版）
3. CIS AWS Foundations Benchmark v3.0.0 全62項目のツール別対応マトリクス（v5.0差分付き）
まとめ：数値で見るカバー率と運用の勘所
参考資料
あわせて読みたい関連記事

改訂履歴

日付更新内容

2026/10/29 ・AWS Security Hub CSPM における CIS AWS Foundations Benchmark v3.0.0 および v5.0.0 の正式サポート状況・コントロール ID（ [Account.1] 、 [IAM.28] 、 [EC2.8] 、 [S3.22] 等）を全面反映
・CIS v1.4.0 から v3.0.0 / v5.0.0 へ移行した際に Section 4（ CloudWatch.1 〜 14 ）と 1.16 （ IAM.1 ）が自動監視から外れる現場の落とし穴と対策を追加
・CFn Guard（CI/CD 事前検査）・Security Hub CSPM（常時監視）・Prowler v4/v5（全項目 API 監査）を組み合わせた 3 層監査アーキテクチャ構成図と判断フローを追加

2024/04/21 ・初版公開（CIS AWS Foundations Benchmark v3.0.0 に対する Security Hub / CFn Guard / Prowler の対応状況調査）

先に結論：Security Hub の v3.0 / v5.0 対応後も Prowler と CFn Guard の併用が欠かせない理由

2024年4月にこの記事を最初に書いた時点では、AWS Security Hub は CIS AWS Foundations Benchmark v1.2.0 と v1.4.0 にしか対応しておらず、v3.0.0 をチェックするにはオープンソースの Prowler を使うしかありませんでした。

その後、AWS Security Hub CSPM が CIS AWS Foundations Benchmark v3.0.0（2024年5月） 、さらに v5.0.0（2025年） を正式サポートしたことで、現在では Security Hub 標準機能だけでも CIS v3.0.0 / v5.0.0 の多くの項目を継続監視できるようになっています。

ところが、僕が担当している AWS Organizations マルチアカウント環境で「これでようやく Prowler を外して Security Hub の CIS v3.0.0 標準一本に統合できる」と考え、旧 CIS v1.4.0 標準を無効化して v3.0.0 へ切り替えた際、思わぬ落とし穴にハマりました。

切り替えた翌週にコントロール一覧を棚卸ししたところ、それまで CIS v1.4.0 で自動チェックされていた Section 4（CloudWatch Logs メトリクスフィルタとアラームによるルートアカウント使用・IAM ポリシー変更・コンソール認証失敗・VPC/SG 変更等の監視：計14項目）と、 1.16 （ *:* フル管理者権限ポリシーのアタッチ禁止：旧 [IAM.1] ） が、Security Hub の CIS v3.0.0 / v5.0.0 標準からごっそり消えていたのです。

原因を公式ドキュメントのコントロールマッピングで調べてみると、CIS 側の仕様改定で Section 4 のメトリクスフィルタ項目が Automated から Manual （手動確認）へ分類変更されたことに伴い、Security Hub CSPM の CIS v3.0.0 / v5.0.0 標準では [CloudWatch.1] 〜 [CloudWatch.14] がすべて「未サポート（Not supported – manual check）」として除外されていました。また、 [IAM.1] も CIS v3.0.0 / v5.0.0 の標準マッピングからは外れており、AWS Foundational Security Best Practices（FSBP）側を有効にしておかないと評価されない仕様になっていました。

こうした現場での手戻りを経てたどり着いた結論は、「単一ツールで CIS ベンチマークを完結させるのではなく、CI/CD での事前ブロック（CFn Guard）、AWS Config 連動の常時 CSPM（Security Hub）、Manual 扱い項目まで API で網羅する深層監査（Prowler v4/v5）の 3 層で役割分担する」という構成です。

▲ CFn Guard（Shift-Left）・Security Hub CSPM（常時監視）・Prowler v4/v5（深層監査）を組み合わせた CIS ベンチマーク 3層監査構成図

1. 3つのセキュリティチェックツールの対応バージョンと特性比較

まずは AWS Security Hub CSPM、AWS CloudFormation Guard（ cfn-guard ）、Prowler の 3 ツールについて、CIS AWS Foundations Benchmark の各バージョン対応状況とアーキテクチャ上の特性を比較します。

比較項目 / CIS バージョン	AWS Security Hub CSPM	AWS CFn Guard	Prowler (v4 / v5)
CIS v1.2.0 (2018/05)	対応 (2019/06〜・43コントロール)	-	対応 (旧v3系まで)
CIS v1.4.0 (2021/05)	対応 (2022/11〜・39コントロール)	対応 (Rule Registry: 18項目)	対応 ( `cis_1.4_aws` )
CIS v1.5.0 (2022/08) / v2.0.0 (2023/06)	未対応 (スキップ)	-	対応 ( `cis_1.5_aws` / `cis_2.0_aws` )
CIS v3.0.0 (2024/01)	対応 (2024/05〜・37コントロール)	対応 (v1.4 共通の 18項目)	対応 ( `cis_3.0_aws` ・全62項目)
CIS v4.0.0 (2024/08)	未対応 (スキップ)	-	対応 ( `cis_4.0_aws` )
CIS v5.0.0 (2025/02)	対応 (2025年〜・40コントロール)	対応 (IaC 対象項目のみ)	対応 ( `cis_5.0_aws` )
検査タイミング	ランタイム常時監視 (AWS Config 連動)	デプロイ前 (CI/CD Shift-Left)	オンデマンド / 日次バッチ実行
AWS Config への依存	必須 (有効化から初回評価まで最大18時間)	不要 (テンプレート静的解析)	不要 (AWS API を直接呼び出し)
Manual (手動) 分類項目の扱い	非対応 (Section 4 の CW Alarm 等を除外)	非対応	自動判定に対応 (CW Alarm 等も検査可)

① AWS Security Hub CSPM の強みと限界

Security Hub CSPM は AWS Organizations の委任管理者および「中央設定（Central Configuration）」を使って、全メンバーアカウント・全リージョンへ一括適用できるのが最大の強みです。また、「統合コントロール検出結果（Consolidated Control Findings）」を有効にしておけば、CIS v3.0.0 と FSBP（AWS 基礎セキュリティのベストプラクティス）の双方に同じコントロール（例： [S3.8] や [EC2.8] ）が含まれていても、裏側の AWS Config ルール評価は 1 回に統合されるため、Config の評価課金が二重に膨らむのを防げます。

一方で、以下の 2 つの限界を理解しておく必要があります。

Manual 分類項目が対象外になる :
CIS v3.0.0 以降で Manual 指定となった Section 4（CloudWatch Logs のメトリクスフィルタ＆アラーム設定 14 項目）や、単一アクティブアクセスキー制限（ 1.13 ）、EC2 インスタンスロール利用確認（ 1.18 ）などは Security Hub の CIS v3.0.0 / v5.0.0 標準には含まれません。
リージョン固有コントロールの制約 :
[Account.1] （代替連絡先登録： 1.2 ）や一部の IAM コントロールは、米国東部（バージニア北部： us-east-1 ）または管理アカウントなど特定条件でのみ評価される仕様があり、東京リージョン（ ap-northeast-1 ）単体で見ているとステータスが流れてこないケースがあります。

② AWS CloudFormation Guard (cfn-guard) の役割

cfn-guard は AWS 公式のオープンソース CLI ツールで、デプロイ前の CloudFormation テンプレート（YAML / JSON）や Terraform plan JSON に対してポリシー検査を行います。AWS 公式のルールリポジトリ（ aws-guard-rules-registry ）に CIS ベンチマーク Level 1 / Level 2 のルールセットが用意されていますが、あくまで「テンプレート上に記述できるリソース属性（S3 パブリックアクセスブロック、RDS 暗号化、SG のポート開放など計 18 項目）」しかチェックできません。アカウント全体のルート MFA 状態やアクセスキーのローテーション日数などは検査できないため、CI/CD パイプラインのゲートキーパーとして割り切って使います。

③ Prowler (v4 / v5) の網羅性

Prowler は Boto3 を通じて AWS API を直接叩いて監査するため、AWS Config を有効化していないリージョンやサンドボックスアカウントでも即座に全 62 項目をスキャンできます。特に、Security Hub が CIS v3.0.0 / v5.0.0 で切り捨てた Section 4（ 4.1 〜 4.15 の CloudWatch メトリクスフィルタとアラームの存在確認）を API 経由で完全自動チェックできる 点が、現場で Prowler を手放せない最大の理由です。

2. 現場で迷わない！CIS ベンチマーク監査ツールの選定・移行フロー

これから CIS AWS Foundations Benchmark v3.0.0 または v5.0.0 準拠を目指す場合、あるいは旧 CIS v1.4.0 から移行する場合の判断フローを整理しました。

flowchart TD Start["CIS AWS Foundations Benchmark v3.0.0 / v5.0.0 準拠・監査の設計開始"] --> HasConfig{"全アカウントで AWS Config を 常時有効化できる予算があるか？"} HasConfig -- "いいえ (開発・検証環境等)" --> OnlyProwler["Prowler v4/v5 を CodeBuild / GitHub Actions で定期実行 (--compliance cis_3.0_aws / cis_5.0_aws)"] HasConfig -- "はい (本番・組織統制環境)" --> EnableSH["Security Hub CSPM で CIS v3.0.0 (または v5.0.0) を有効化 ＋統合コントロール検出結果 (Consolidated Findings) を ON"] EnableSH --> CheckMigration{"旧 CIS v1.4.0 標準からの アップデート移行か？"} CheckMigration -- "はい" --> TrapFix["【要注意】v1.4.0 を無効化する前に以下を実施: 1. FSBP 標準を有効化して [IAM.1] (1.16) を維持 2. Section 4 (CW Alarm 14項目) を Prowler または v1.4 併用で補完"] CheckMigration -- "いいえ (新規導入)" --> AddProwler["Security Hub 未対応の 25項目 (Section 4・1.13・1.18 等) を Prowler の日次スキャン＋ASFF 連携で補完"] TrapFix --> AddCfnGuard["CI/CD パイプラインに CFn Guard を組み込み デプロイ前に 18項目の設定ミスを遮断"] AddProwler --> AddCfnGuard

各ツールの実行コマンド例（v3.0.0 / v5.0.0 対応版）

現場のパイプラインや CLI から各ツールを実行する際の最新コマンドは以下の通りです。

# 1. AWS Security Hub CSPM で CIS v3.0.0 / v5.0.0 標準を有効化 (AWS CLI)
aws securityhub batch-enable-standards \
  --standards-subscription-requests \
    StandardsArn="arn:aws:securityhub:ap-northeast-1::standards/cis-aws-foundations-benchmark/v/3.0.0" \
    StandardsArn="arn:aws:securityhub:ap-northeast-1::standards/cis-aws-foundations-benchmark/v/5.0.0"

# 2. Prowler v4 / v5 で CIS v3.0.0 (または v5.0.0) を指定してスキャンし Security Hub へ送信
prowler aws --compliance cis_3.0_aws --security-hub --region ap-northeast-1

# 3. CloudFormation Guard (cfn-guard) でデプロイ前のテンプレートを静的検証
cfn-guard validate \
  --data ./template.yaml \
  --rules ./aws-guard-rules-registry/rules/aws/amazon_s3/ \
  --show-summary fail

3. CIS AWS Foundations Benchmark v3.0.0 全62項目のツール別対応マトリクス（v5.0差分付き）

CIS AWS Foundations Benchmark v3.0.0 の全 62 項目について、AWS Security Hub CSPM（v3.0.0 / v5.0.0 の公式コントロール ID）、CFn Guard、Prowler（v4 / v5）の対応状況を一覧化しました。

Security Hub 列の [Control.ID] は、統合コントロール検出結果（Consolidated Control Findings）における公式コントロール ID です。
△ (v3.0対象外) と記載している項目は、旧 CIS v1.4.0 または FSBP 標準にはコントロールが存在するものの、CIS v3.0.0 / v5.0.0 標準の自動評価からは除外されている要注意項目です。

1. Identity and Access Management（全22項目）

v3.0.0 では、新たに 1.15 （ [IAM.2] グループ経由の権限付与）、 1.19 （ [IAM.26] 期限切れ SSL/TLS 証明書削除）、 1.20 （ [IAM.28] IAM Access Analyzer 有効化）、 1.22 （ [IAM.27] CloudShell フルアクセス制限）の 4 項目が Security Hub で新規サポートされました。一方、 1.16 （ *:* 管理者ポリシー禁止）は CIS v3.0.0 / v5.0.0 標準単体では評価されないため注意が必要です。

ID	チェック項目 (Assessment Status)	Level	Security Hub CSPM (v3.0 / v5.0 Control ID)	CFn Guard	Prowler (v4/v5)
1.1	Maintain current contact details (Manual)	1	- (Manual)	-	対応 (Manual)
1.2	Ensure security contact information is registered (Manual)	1	対応 ([Account.1] / v5.0: 1.2)	-	対応
1.3	Ensure security questions are registered in the AWS account (Manual)	1	- (Manual・v5.0で廃止)	-	対応 (Manual)
1.4	Ensure no ‘root’ user account access key exists (Automated)	1	対応 ([IAM.4] / v5.0: 1.3)	-	対応
1.5	Ensure MFA is enabled for the ‘root’ user account (Automated)	1	対応 ([IAM.9] / v5.0: 1.4)	-	対応
1.6	Ensure hardware MFA is enabled for the ‘root’ user account (Manual)	1	対応 ([IAM.6] / v5.0: 1.5)	-	対応
1.7	Eliminate use of the ‘root’ user for administrative and daily tasks (Manual)	1	△ (v3.0/v5.0対象外・旧v1.2 [IAM.20])	-	対応
1.8	Ensure IAM password policy requires minimum length of 14 or greater (Automated)	1	対応 ([IAM.15] / v5.0: 1.7)	-	対応
1.9	Ensure IAM password policy prevents password reuse (Automated)	1	対応 ([IAM.16] / v5.0: 1.8)	-	対応
1.10	Ensure multi-factor authentication (MFA) is enabled for all IAM users that have a console password (Automated)	1	対応 ([IAM.5] / v5.0: 1.9)	-	対応
1.11	Do not setup access keys during initial user setup for all IAM users that have a console password (Manual)	1	- (Manual)	-	対応
1.12	Ensure credentials unused for 45 days or greater are disabled (Automated)	1	対応 ([IAM.22] / v5.0: 1.11)	-	対応
1.13	Ensure there is only one active access key available for any single IAM user (Automated)	1	- (未サポート)	-	対応
1.14	Ensure access keys are rotated every 90 days or less (Automated)	1	対応 ([IAM.3] / v5.0: 1.13)	-	対応
1.15	Ensure IAM Users Receive Permissions Only Through Groups (Automated)	1	対応 ([IAM.2] / v3.0で追加・v5.0: 1.14)	対応	対応
1.16	Ensure IAM policies that allow full “ : ” administrative privileges are not attached (Automated)	1	△ (v3.0/v5.0対象外・FSBP/v1.4 [IAM.1]で対応)	対応	対応
1.17	Ensure a support role has been created to manage incidents with AWS Support (Automated)	1	対応 ([IAM.18] / v5.0: 1.16)	-	対応
1.18	Ensure IAM instance roles are used for AWS resource access from instances (Automated)	1	- (未サポート)	対応	対応
1.19	Ensure that all the expired SSL/TLS certificates stored in AWS IAM are removed (Automated)	1	対応 ([IAM.26] / v3.0で追加・v5.0: 1.18)	-	対応
1.20	Ensure that IAM Access analyzer is enabled for all regions (Automated)	1	対応 ([IAM.28] / v3.0で追加・v5.0: 1.19)	-	対応
1.21	Ensure IAM users are managed centrally via identity federation or AWS Organizations for multi-account environments (Manual)	1	- (Manual)	-	対応 (Manual)
1.22	Ensure access to AWSCloudShellFullAccess is restricted (Manual)	1	対応 ([IAM.27] / v3.0で追加・v5.0: 1.21)	-	対応

2. Storage（S3 / EC2 EBS / RDS / EFS：全9項目）

Storage セクションは Security Hub の CIS v3.0.0 対応によってカバー率が大きく向上した領域です。旧 v1.4.0 では未対応だった RDS の自動マイナーバージョンアップグレード（ 2.3.2 ： [RDS.13] ）、RDS パブリックアクセス禁止（ 2.3.3 ： [RDS.2] ）、EFS 暗号化（ 2.4.1 ： [EFS.1] ）がすべて自動評価されるようになりました。なお、CIS v5.0.0 では EC2 EBS 暗号化（ 2.2.1 ）が Section 5（ 5.1.1 ）へ移動し、新たに RDS Multi-AZ 構成（ 2.2.4 ： [RDS.5] / [RDS.15] ）が追加されています。

2.1 Simple Storage Service (S3)

ID	チェック項目 (Assessment Status)	Level	Security Hub CSPM (v3.0 / v5.0 Control ID)	CFn Guard	Prowler (v4/v5)
2.1.1	Ensure S3 Bucket Policy is set to deny HTTP requests (Automated)	1	対応 ([S3.5] / v5.0: 2.1.1)	対応	対応
2.1.2	Ensure MFA Delete is enabled on S3 buckets (Manual)	1	対応 ([S3.20] / v5.0: 2.1.2)	-	対応
2.1.3	Ensure all data in Amazon S3 has been discovered, classified and secured when required (Manual)	2	- (Manual・FSBP [Macie.1]で代替可)	-	対応
2.1.4	Ensure that S3 Buckets are configured with ‘Block public access (bucket settings)’ (Automated)	1	対応 ([S3.1]・[S3.8] / v5.0: 2.1.4)	対応	対応

2.2 Elastic Compute Cloud (EC2)

ID	チェック項目 (Assessment Status)	Level	Security Hub CSPM (v3.0 / v5.0 Control ID)	CFn Guard	Prowler (v4/v5)
2.2.1	Ensure EBS Volume Encryption is Enabled in all Regions (Automated)	1	対応 ([EC2.7] / v5.0では 5.1.1 へ移動)	対応	対応

2.3 Relational Database Service (RDS)

ID	チェック項目 (Assessment Status)	Level	Security Hub CSPM (v3.0 / v5.0 Control ID)	CFn Guard	Prowler (v4/v5)
2.3.1	Ensure that encryption-at-rest is enabled for RDS Instances (Automated)	1	対応 ([RDS.3] / v5.0: 2.2.1)	対応	対応
2.3.2	Ensure Auto Minor Version Upgrade feature is Enabled for RDS Instances (Automated)	1	対応 ([RDS.13] / v3.0で追加・v5.0: 2.2.2)	対応	対応
2.3.3	Ensure that public access is not given to RDS Instance (Automated)	1	対応 ([RDS.2] / v3.0で追加・v5.0: 2.2.3)	対応	対応

2.4 Elastic File System (EFS)

ID	チェック項目 (Assessment Status)	Level	Security Hub CSPM (v3.0 / v5.0 Control ID)	CFn Guard	Prowler (v4/v5)
2.4.1	Ensure that encryption is enabled for EFS file systems (Automated)	1	対応 ([EFS.1] / v3.0で追加・v5.0: 2.3.1 [EFS.8])	対応	対応

3. Logging（全9項目）

Logging セクションは、S3 オブジェクトレベルの書き込み・読み取りデータイベント記録（ 3.8 ： [S3.22] 、 3.9 ： [S3.23] ）が Security Hub v3.0.0 で追加されたことにより、 全 9 項目すべてが Security Hub と Prowler の双方で 100% 自動チェック可能 になっています。

ID	チェック項目 (Assessment Status)	Level	Security Hub CSPM (v3.0 / v5.0 Control ID)	CFn Guard	Prowler (v4/v5)
3.1	Ensure CloudTrail is enabled in all regions (Automated)	1	対応 ([CloudTrail.1] / v5.0: 3.1)	-	対応
3.2	Ensure CloudTrail log file validation is enabled (Automated)	2	対応 ([CloudTrail.4] / v5.0: 3.2)	対応	対応
3.3	Ensure AWS Config is enabled in all regions (Automated)	2	対応 ([Config.1] / v5.0: 3.3)	-	対応
3.4	Ensure S3 bucket access logging is enabled on the CloudTrail S3 bucket (Automated)	1	対応 ([CloudTrail.7] / v5.0: 3.4)	対応	対応
3.5	Ensure CloudTrail logs are encrypted at rest using KMS CMKs (Automated)	2	対応 ([CloudTrail.2] / v5.0: 3.5)	対応	対応
3.6	Ensure rotation for customer-created symmetric CMKs is enabled (Automated)	2	対応 ([KMS.4] / v5.0: 3.6)	対応	対応
3.7	Ensure VPC flow logging is enabled in all VPCs (Automated)	2	対応 ([EC2.6] / v5.0: 3.7)	-	対応
3.8	Ensure that Object-level logging for write events is enabled for S3 bucket (Automated)	2	対応 ([S3.22] / v3.0で追加・v5.0: 3.8)	-	対応
3.9	Ensure that Object-level logging for read events is enabled for S3 bucket (Automated)	2	対応 ([S3.23] / v3.0で追加・v5.0: 3.9)	-	対応

4. Monitoring（全16項目：移行時の最大要注意セクション）

冒頭の実体験で触れた通り、 Section 4 は Security Hub の CIS v3.0.0 / v5.0.0 標準では 1 項目もサポートされていません 。CIS v3.0.0 で 4.1 〜 4.15 がすべて Manual 扱いになったため、Security Hub 側でも Not supported – manual check として対象外になりました。

もし Security Hub だけで 4.3 〜 4.14 の CloudWatch Logs メトリクスフィルタ＆アラームを継続チェックしたい場合は、旧 CIS v1.4.0 標準の該当コントロール（ [CloudWatch.1] 、 [CloudWatch.4] 〜 [CloudWatch.14] ）を無効化せずに残す か、 Prowler（ 4.1 〜 4.16 すべてを API で自動判定可能） を併用する必要があります。

ID	チェック項目 (Assessment Status)	Level	Security Hub CSPM (v3.0 / v5.0 Control ID)	CFn Guard	Prowler (v4/v5)
4.1	Ensure unauthorized API calls are monitored (Manual)	2	△ (v3.0/v5.0対象外・旧v1.2 [CloudWatch.2])	-	対応 (自動判定)
4.2	Ensure management console sign-in without MFA is monitored (Manual)	1	△ (v3.0/v5.0対象外・旧v1.2 [CloudWatch.3])	-	対応 (自動判定)
4.3	Ensure usage of ‘root’ account is monitored (Manual)	1	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.1])	-	対応 (自動判定)
4.4	Ensure IAM policy changes are monitored (Manual)	1	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.4])	-	対応 (自動判定)
4.5	Ensure CloudTrail configuration changes are monitored (Manual)	1	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.5])	-	対応 (自動判定)
4.6	Ensure AWS Management Console authentication failures are monitored (Manual)	2	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.6])	-	対応 (自動判定)
4.7	Ensure disabling or scheduled deletion of customer created CMKs is monitored (Manual)	2	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.7])	-	対応 (自動判定)
4.8	Ensure S3 bucket policy changes are monitored (Manual)	1	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.8])	-	対応 (自動判定)
4.9	Ensure AWS Config configuration changes are monitored (Manual)	2	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.9])	-	対応 (自動判定)
4.10	Ensure security group changes are monitored (Manual)	2	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.10])	-	対応 (自動判定)
4.11	Ensure Network Access Control Lists (NACL) changes are monitored (Manual)	2	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.11])	-	対応 (自動判定)
4.12	Ensure changes to network gateways are monitored (Manual)	1	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.12])	-	対応 (自動判定)
4.13	Ensure route table changes are monitored (Manual)	1	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.13])	-	対応 (自動判定)
4.14	Ensure VPC changes are monitored (Manual)	1	△ (v3.0/v5.0対象外・旧v1.4 [CloudWatch.14])	-	対応 (自動判定)
4.15	Ensure AWS Organizations changes are monitored (Manual)	1	- (未サポート)	-	対応 (自動判定)
4.16	Ensure AWS Security Hub is enabled (Automated)	2	- (自身のため対象外)	-	対応 (自動判定)

5. Networking（全6項目）

Networking セクションでは、旧 v1.4.0 で未対応またはポート22/3389限定だった IPv4/IPv6 のリモート管理ポート開放チェック（ 5.2 ： [EC2.53] 、 5.3 ： [EC2.54] ）と、EC2 インスタンスメタデータサービス IMDSv2 の強制（ 5.6 ： [EC2.8] ）が Security Hub v3.0.0 で正式サポートされました。残る未サポート項目は 5.5 （VPC ピアリングのルートテーブル最小権限化：Manual）のみです。

ID	チェック項目 (Assessment Status)	Level	Security Hub CSPM (v3.0 / v5.0 Control ID)	CFn Guard	Prowler (v4/v5)
5.1	Ensure no Network ACLs allow ingress from 0.0.0.0/0 to remote server administration ports (Automated)	1	対応 ([EC2.21] / v5.0: 5.2)	対応	対応
5.2	Ensure no security groups allow ingress from 0.0.0.0/0 to remote server administration ports (Automated)	1	対応 ([EC2.53] / v3.0で追加・v5.0: 5.3)	対応	対応
5.3	Ensure no security groups allow ingress from ::/0 to remote server administration ports (Automated)	1	対応 ([EC2.54] / v3.0で追加・v5.0: 5.4)	対応	対応
5.4	Ensure the default security group of every VPC restricts all traffic (Automated)	2	対応 ([EC2.2] / v5.0: 5.5)	-	対応
5.5	Ensure routing tables for VPC peering are “least access” (Manual)	2	- (Manual)	-	対応
5.6	Ensure that EC2 Metadata Service only allows IMDSv2 (Automated)	1	対応 ([EC2.8] / v3.0で追加・v5.0: 5.7)	対応	対応

まとめ：数値で見るカバー率と運用の勘所

全 62 項目（CIS AWS Foundations Benchmark v3.0.0）に対する各ツールの実質カバー数を集計すると以下のようになります。

AWS Security Hub CSPM（CIS v3.0.0 標準単体） : 36 / 62 項目（約 58%）
- 自動化（Automated）対象の大部分をカバーできますが、Section 4（全16項目）と一部の IAM / VPC ピアリング項目が抜けます。旧 CIS v1.4.0 の [CloudWatch.1, 4〜14] および FSBP の [IAM.1] を併用すると 50 / 62 項目（約 81%） まで引き上げられます。
AWS CloudFormation Guard（ cfn-guard ） : 18 / 62 項目（約 29%）
- カバー率は約 3 割ですが、開発者が違反リソースを本番へデプロイしてしまう前に CI/CD で即座に差し戻せる唯一無二の役割を持ちます。
Prowler（v4 / v5） : 62 / 62 項目（100%：うち自動判定 58 項目＋Manual 4 項目）
- Section 4 の CloudWatch アラーム 15 項目や 1.13 （単一アクセスキー）、 1.18 （EC2 インスタンスロール）まで API で自動チェックできます。

正直なところ、今後 CIS v5.0.0 以降へ完全に軸足を移していく中で、Section 4 のような「CloudWatch Logs のメトリクスフィルタ＋SNS アラーム」という古典的な仕組みをいつまで維持すべきかは僕自身も悩むことがあります。実運用では Amazon EventBridge で CloudTrail イベントを直接拾う方がシンプルで遅延も少ないのですが、外部監査やセキュリティチェックシートで「CIS ベンチマーク準拠」を求められる現場では、依然としてメトリクスフィルタの有無が問われます。そうした監査要件と現場の運用負荷を両立させる上でも、常時監視は Security Hub CSPM に任せつつ、週次・日次の Prowler スキャンで穴を埋めるハイブリッド構成が今のところ最もバランスの良い落としどころだと感じています。

参考資料

あわせて読みたい関連記事

【Prowler】AWS/GCP セキュリティ監査のカスタムチェック作成方法とPython実装手順

AWS・GCP・Azureのクラウドセキュリティ監査ツール「Prowler」で独自のカスタムチェック（Custom Checks）を追加する実践ガイド。公式ドキュメントに載っていないメタデータJSON ... [続きを読む]

【Tips/Workaround】Security Hub コントロールのリファレンスをスクレイピングしてデータ化する方法

Security Hub では、標準という機能を有効化することでコントロールと呼ばれるセキュリティチェックルールを有効化し、 AWSのベストプラクティスに則ったセキュリティ設定をチェックすることができ ... [続きを読む]

🚀 運営サービス・関連ソリューション（Cont-Aid LLC）

CLOUD ARCHITECTURE & ADVISORY

AWS / Google Cloud 設計標準化・セキュリティ自動化支援（合同会社Cont-Aid）

AWS Organizations / Control Tower マルチアカウント設計、IAM Identity Center、Prowler 統制自動化、Terraform / CI/CD 構築を実務アーキテクトが直接支援します。

アーキテクチャ相談・お問い合わせ

LIVE CLOUD & AI SHOWCASE

Alpha Radar & CandidLens — サーバーレスAI実践プロダクト

Google Cloud / Firebase 上で稼働する自社AIプロダクト群。AIクオンツ市場分析「Alpha Radar」およびAI印象診断「CandidLens」を公開中です。

プロダクトを見る