AWS Systems Manager Incident Managerは、インシデント対応を自動化し、標準化するためのマネージドサービスです。セキュリティイベントやシステム障害などのインシデントが発生した際に、一貫性のある迅速な対応を可能にします。

このサービスを効果的に理解するには、資格試験での重要トピックを理解することが重要です。

AWS Systems Manager Incident Managerに関連した資格試験で重要なトピックを解説します。

セキュリティインシデントの検出から対応までを完全自動化することで、対応時間を数秒〜数分に短縮できます。この図解は、EventBridgeを中心とした自動インシデント対応システムの全体像を示しています。

図の左側にあるGuardDuty、Security Hub、Config Rulesが脅威やコンプライアンス違反を検出すると、イベントが中央のEventBridgeに集約されます。EventBridgeは受信したイベントをルールエンジンで分析し、脅威タイプ（例：UnauthorizedAccess:EC2/TorClient）や違反内容（ComplianceStatus: FAILED）に応じて、適切な対応フローを決定します。

イベントパターンが特定されると、Incident Managerが起動し、レスポンスプラン（対応の枠組み）に基づいてランブック（自動実行スクリプト）を実行します。図の右側に示された4つの自動修復アクションが、インシデントの種類に応じて実行されます：IAM権限制限（不正アクセス時）、S3アクセスブロック（設定ミス時）、セキュリティグループ修正（ポート開放違反時）、EC2隔離（マルウェア感染時）。

並行してSNS経由でセキュリティチームへ通知が送信され、自動対応の内容と追加対応が必要な項目が共有されます。この統合システムにより、検出から修復までを数秒〜数分で完了し、すべての対応が標準化され、監査証跡も自動記録されます。

標準的なAutomationでは対応できない複雑な条件分岐や承認フローが必要な場合、Step FunctionsとLambda関数を組み合わせた高度なオーケストレーションを実装します。

図の上部でEventBridgeがセキュリティイベントを検出すると、Incident ManagerのランブックがStep Functionsワークフローを起動します。最初のLambda関数がインシデントの詳細を評価し、次の関数で重要度（Critical/High/Medium/Low）を判定します。

Critical/High判定時は承認フローへ分岐し、SNS経由で承認者に通知が送信されます。Step Functionsは承認待ちの間ワークフローを一時停止し、承認後に処理を再開します。この仕組みで自動化の効率性と人間の判断を両立させています。

重要度に応じて図の下部にある5つの自動アクションが並列実行されます：Jira/ServiceNow（チケット作成）、S3隔離（データ漏洩対策）、Slack通知（チーム共有）、EC2隔離（マルウェア対応）、IAM権限更新（不正アクセス対処）。Step Functionsの視覚的なワークフローにより、複雑な処理も容易に管理・拡張できます。

複数のAWSアカウントで発生するセキュリティインシデントを、中央のセキュリティアカウントから一元管理し、組織全体で一貫した対応を実現するアーキテクチャです。

図の下部のメンバーアカウント（Account A/B）では、GuardDuty、Config、Security Hubが独立してセキュリティ監視を実行します。検出されたイベントはEventBridgeのクロスアカウント機能で中央のセキュリティアカウントに転送され、アカウントID、イベントタイプ、重要度で分類されます。

セキュリティアカウントの中央Incident Managerがレスポンスプランを起動し、本番/開発環境に応じた優先度で対応を決定します。修復時はAssumeRoleで各メンバーアカウントのExecution Roleを引き受け、最小権限でS3ブロック、IAM制限、EC2隔離などを実行します。

Organizations、StackSets、CloudTrailが基盤を支え、新規アカウント追加時も自動的にセキュリティ体制に組み込まれます。StackSetsで全アカウントに一貫した設定をデプロイし、CloudTrailで全API呼び出しを記録。この仕組みにより、単一コンソールから組織全体を管理し、標準化された対応と監査証跡を実現します。

ここまで学んだ4つの核心パターンを、実践的な問題で確認しましょう。各問題は実際の企業シナリオに基づいており、パターンの適用能力を評価します。

AWS Systems Manager Incident Managerは、インシデント対応の自動化と標準化を実現する強力なサービスです。3つの核心パターンを理解することで、様々なシナリオに対応できます。

これらのパターンを組み合わせることで、包括的なインシデント対応システムを構築できます。