AWS Security Agent といっしょに脅威モデリングをやってみよう

2026/6/23 JAWS-UG東京 ランチタイムLT会 #36 登壇資料

1. AWS Security Agent といっしょに 脅威モデリングをやってみよう 2026/6/23 JAWS-UG東京 ランチタイムLT会 #36
2. 自己紹介 藤田 直幸　X：@amarelo_n24 　・AWS Community Builders(Security) 　・JAWS-UG 彩の国埼玉支部 運営 　・コーヒー焙煎人兼エンジニア ・おひとり様BuilderCards Player 好きなAWSサービス：IAM、S3、Organizations 好きなこと：コーヒー豆の焙煎
3. １．AWS Security Agent とは？ ２．脅威モデリング とは？ ３．脅威モデルを実行してみた ４．脅威が検出されなかった事例 ５．まとめ アジェンダ
4. ・今回試した結果は、私個人のAWSアカウントで試した結果です。 ・個人の見解であり、所属組織等を代表するものではありません。 ・本資料は、2026/6/21現在の情報で作成したものです。 おことわり
5. １．AWS Security Agent とは？
6. AWS Security Agent とは AWS re:Invent 2025の会期中に発表された、Webアプリケーションに潜む脆弱性 や脅威を検出できるフロンティアエージェントサービス。 https://aws.amazon.com/jp/security-agent/
7. ４つの機能（2026/6/21現在） カテゴリ 概要 ステータス ペネトレーションテスト 疑似攻撃シナリオによる脆弱性の検出 GA コードレビュー コードを読み取り脆弱性を検出 プレビュー 設計レビュー アプリケーション設計の評価 プレビュー 脅威モデル アプリケーションに及ぶ脅威の特定 プレビュー
8. ２．脅威モデリング とは？
9. 脅威を特定し、システムに対する脅威の影響を防止または軽減するための対 策を定義することで、セキュリティを向上させるための活動。 ※OWASPのサイトより引用 https://owasp.org/www-community/Threat_Modeling 脅威モデリングとは？
10. 2026/6/17のAWS Summit New York Cityで発表された機能。 設計ドキュメントまたはアプリケーションのソースコードからアーキテクチャの全 体像を把握し、STRIDEフレームワークを使って脅威の特定と推奨される対策を 提示。 https://aws.amazon.com/jp/about-aws/whats-new/2026/06/aws-security-agent-threat-modeling/ https://aws.amazon.com/jp/blogs/aws/aws-security-agent-adds-threat-modeling-kiro-power-and-c laude-code-plugin-and-more/ Security Agent 脅威モデル機能
11. 以下主要な脅威の頭文字を並べた言葉。これらの観点で脅威を分析する脅威 モデリングの分析手法の一つ。 https://learn.microsoft.com/ja-jp/azure/security/develop/threat-modeling-tool-threats#stride-model STRIDEとは？ カテゴリ 説明 Spoofing なりすまし Tampering 改ざん Repudiation 否認 Information disclosure 情報漏洩 Denial of service サービス拒否 Elevation of privileg 権限昇格
12. AWS Well-Architected フレームワークのセキュリティの柱のSEC01-BP07で、 脅威モデルを使用した脅威を特定について記載あり。 Well-Architected フレームワークに準拠するために必要な機能では？ SEC01-BP07 https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security-pillar/sec _securely_operate_threat_model.html 脅威モデルはセキュリティの柱にも記載あり
13. ３．脅威モデルを実行してみた
14. リポジトリ、機能仕様書を選択して実行 GitHub、GitLab、Bitbucket、 Confluenceを設定可能。 CodeCommitはまだ無い…
15. 実行中
16. 1時間ほどで完了
17. 脅威の詳細　※日本語化に期待！
18. ４．脅威が検出されなかった事例
19. テスト用リポジトリで脅威検出せず…
20. 想定される原因 ・リポジトリ名がSecurity Agent のPoCを想像させるものだった ・READMEにも「セキュリティテスト専用のサイト」の旨書かれていた 　※リポジトリ全体を某生成AIにて作成
21. テスト用アプリだと脅威検出されない？ すべての動作確認用Webアプリケーションが該当しないと思うが、 脆弱性診断ツール動作確認用と思われる情報があると、Security Agent がそ の情報を基にして正しく脅威検出してくれないのでは？ ※憶測の域を抜けないが、動作確認用を想像できる文言が入っていない 　リポジトリに脅威モデルを実行したら、脅威を検出できた。
22. ５．まとめ
23. ・脅威モデル機能を上手く使って、効率良く脅威の把握と対策を。 ・検出結果に対する対応可否、対応する脅威の最終的なトリアージは、 　絶対に人が判断しなければならない。 ・プレビュー版の機能を使ってコードレビュー、脅威モデルを学ぼう。 　Webアプリケーションセキュリティを身近なものに。 ・Security Agent 動作確認用サイトを作るときは、「テスト用 　サイト」という文言を入れない方が良いかもしれない… 脅威モデルを人の能力だけで実施するのは大変
24. 宣伝：JAWS-UG 北陸新幹線 #6 上越新幹線直通 in 大宮 https://jawsug-sainokuni-saitama.connpass.com/event/392213/
25. サブイベントは鉄道博物館！ https://jawsug-sainokuni-saitama.connpass.com/event/395674/
26. 本日の登壇内容の基記事 AWS Security Agent といっしょに脅威モデリングをやってみよう https://qiita.com/amarelo_n24/items/997a8fb958e14291ce94 まだ間に合う！コードレビューでAWS Security Agent デビューしよう！ https://qiita.com/amarelo_n24/items/e196b74f718c750a0e18