はじめに

Re:Q Techブログをご覧いただきありがとうございます。クラウド技術部のR.Aです！

以前、 AWS編としてProwlerやSteampipeの調査記事 も公開していますが、今回はGoogle Cloud環境に特化して、Google Cloud環境における主要なセキュリティ診断ツール（CSPMツール）の比較についてご紹介します。

かつて、Google Cloud特化のセキュリティ監査OSSとしては「Forseti Security」がデファクトスタンダードでしたが、現在は開発が終了しアーカイブされています。その機能の多くは、現在Google Cloudネイティブの「Security Command Center (SCC)」へと統合されています。

このような背景から、「現状のGoogle Cloud環境では結局どのツールを使えばいいの？」とツール選定に迷われる方も多いのではないでしょうか。 そこで本記事では、本格的な導入を検討する前の事前調査として、「Google CloudネイティブのCSPMツール」と、近年主流となっている「マルチクラウド対応のOSSのCSPMツール」をピックアップし、それぞれの特徴や違いを比較・整理します。

比較一覧表

比較項目	Security Command Center	Prowler	Steampipe	Scout Suite
ツール概要	Google Cloudネイティブの統合セキュリティ・リスク管理機能	マルチクラウド対応の統合セキュリティ評価・監査OSS	クラウド設定をSQLでクエリして確認できる「ゼロETL」OSS	マルチクラウド対応のセキュリティ監査・HTMLレポート生成OSS
主な強み・特徴	【Google Cloud特化・統合】 環境に標準で組み込まれており、追加インフラ不要で即座に脆弱性や設定ミスの監査・可視化が可能。	【幅広い環境の網羅的監査】 AWS同様、Google CloudでもCISなどのコンプライアンス要件に対する継続的な監査に優れている。	【独自のカスタム探索】 SQLを用いた柔軟なリソース探索が可能。Google Cloud環境の独自監査ルールの作成に強い。	【分かりやすいレポート】 特定時点でのスナップショット監査と、視覚的に見やすいHTMLレポートの生成に優れている。
実行コスト	無料（Standardティアの場合）	APIコール料金 (通常数ドル以下程度)	APIコール料金 (通常数ドル以下程度)	APIコール料金 (通常数ドル以下程度)
高度な機能・有償版	Premium/Enterpriseティアは有料。高度な脅威検出やコンプライアンスレポートが含まれる。	月額$49～$99/クラウドアカウント (OSS CLI版は無料)	月額$19/ユーザー (OSS CLI版は無料)	なし（完全無料OSS）

各種ツールの詳細

1. Security Command Center (SCC)

要約

• Google Cloud環境に標準搭載されているネイティブの統合セキュリティ管理サービスです。
• Standardティア（無料）でも基本的な設定ミスの検出機能（Security Health Analytics）が利用可能です。

1-1. 特徴

• 以下のセキュリティ基準によるチェック機能（Premium版以上）を提供します
  • CIS Google Cloud Computing Foundations Benchmark
  • PCI DSS、ISO 27001、NIST 800-53等
• エージェントレスでのクラウドインフラ監視、外部に公開されているリソースの発見、IAMの権限異常の検知などに強みを持ちます。

1-2. サポート対象サービス

• Google Cloudの主要なサービスを網羅しています。
  • コンピューティング: Compute Engine, Google Kubernetes Engine (GKE), Cloud Run
  • ストレージ・DB: Cloud Storage, Cloud SQL, BigQuery
  • ネットワーキング: VPC, Cloud Load Balancing, Cloud DNS
  • セキュリティ・ガバナンス: IAM, Cloud KMS

1-3. コスト

• Standardティア:
  • 無料で利用可能。Security Health Analyticsの基本セットが含まれます。
• Premium / Enterpriseティア:
  • 有料（従量課金またはサブスクリプション）。
  • 高度な脅威検出（Event Threat Detection等）やコンプライアンスレポートの出力が含まれます。

1-4. 導入方法

• Google Cloud ConsoleのSecurity Command Centerページから数クリックで有効化できます。

1-5. 前提条件

• Google Cloud Organization（組織）が設定されていること。
• 有効化するための権限（Organization Admin または Security Center Admin）を持つユーザーであること。

2. Prowler

要約

• Google Cloudだけではなく、AWSやAzure等に対応したデファクトスタンダードのマルチクラウド対応監査ツールです。
• Google Cloud向けにも数百の設定監査コントロールが用意されており、CIS Benchmarks等に準拠しているかの継続的なチェックに最適です。

2-1. 特徴

• 柔軟な出力形式（HTML, CSV, JSON等）に対応。
• SCCのSecurity Sourcesにインテグレーションすることで、Prowlerの監査結果をSCCに集約することも可能です。
• CI/CDパイプラインへの組み込みや、Cloud Functions等を利用した自動化・定期監査の土台として扱いやすいのが強みです。

2-2. サポート対象サービス

• Google Cloudの主要なサービスをカバーしています。
  • コンピューティング: Compute Engine, GKE
  • ストレージ/DB: Cloud Storage, Cloud SQL, BigQuery
  • ネットワーク: VPC, Cloud Load Balancing
  • セキュリティ: IAM, Cloud KMS

2-3. コスト

• Prowler CLI (オープンソース版):
  • ライセンス費用: 無料
  • 実行コスト: 実行時にAPIコール料金がわずかに発生します。
• Prowler SaaS:
  • 月額$49～$99/クラウドアカウント 等の有料プランが提供されています。

2-4. 導入方法

• pip（推奨）: pip install prowler
• Docker: 公式イメージを使用して実行可能。

2-5. 前提条件

• Python 3.9 ~ 3.12がインストールされていること（pipでインストールする場合）。
• 監査を実行するための十分な権限（roles/viewer, roles/securityReviewer など）を持つサービスアカウントやユーザーの認証情報（Application Default Credentials）。

3. Steampipe

要約

• クラウドAPIをPostgreSQLテーブルとして扱い、使い慣れたSQLでGoogle Cloudのリソース構成をクエリできるOSSツールです。
• Google Cloud環境のセキュリティコンプライアンス（CIS等）を評価するための拡張機能（Google Cloud Compliance Mod）も提供されています。

3-1. 特徴

• 「特定のラベルが付与されていないGoogle Cloudリソース」など、自社特有のルールや詳細なインベントリ探索をSQLのSELECT文で柔軟に記述できる点が最大の強みです。
• ダッシュボード機能による可視化も可能です。

3-2. サポート対象サービス

• Google Cloudのほぼ全てのサービスに対応し、多数のテーブルを提供しています。
  • コンピューティング: Compute Engine, GKE, Cloud Functions
  • ストレージ・DB: Cloud Storage, Cloud SQL, BigQuery, Spanner
  • ネットワーク: VPC, Cloud Load Balancing, Cloud DNS
  • セキュリティ・管理: IAM, Cloud KMS, Cloud Logging

3-3. コスト

• Steampipe CLI (オープンソース版):
  • ライセンス費用: 無料
  • 実行コスト: 実行時にAPIコール料金がわずかに発生します。

3-4. 導入方法

• macOS (Homebrew): brew install turbot/tap/steampipe
• Linux / WSL2: インストールスクリプトで導入。
• プラグイン導入: steampipe plugin install gcp

3-5. 前提条件

• 対応OS: Linux, macOS, Windows (WSL2)。
• Google Cloudの認証情報（サービスアカウントキー等）と適切な読み取り権限（Viewer等）。
• コンプライアンスチェックには gcp-compliance Modのクローンが必要。

4. Scout Suite

要約

• NCC Groupが提供する、マルチクラウド対応のポイント・イン・タイム（特定時点）のセキュリティ監査OSSツールです。
• CLIで実行することでGoogle Cloud環境の構成情報を収集し、視覚的で見やすいHTML形式の監査レポートを自動生成します。

4-1. 特徴

• 監査担当者やマネジメント層へ提出するための「わかりやすい俯瞰レポート」を手軽に出力したい場合に非常に便利です。
• 継続的な監視（監視システムへの組み込み）よりも、スポットでのセキュリティ診断やコンサルティング業務によく利用されます。

4-2. サポート対象サービス

• Google Cloudの主要サービスに対応しています。
  • Compute Engine, Cloud Storage, Cloud SQL, IAM, GKE, VPC など

4-3. コスト

• ライセンス費用: 無料 (OSS)
• 実行コスト: 実行時にAPIコール料金がわずかに発生します。

4-4. 導入方法

• pip環境や、仮想環境(venv)でのインストールが推奨されます。
  • pip install Scout Suite
• Dockerを利用した実行も可能。

4-5. 前提条件

• Python環境がインストールされていること。
• Google Cloudの認証情報（gcloud auth application-default login やサービスアカウントキー）と読み取り権限（roles/viewer や roles/securityReviewer など）。

おわりに

今回の概要調査を通じて、Google Cloud環境のセキュリティ診断に利用できる主要なツールには、それぞれ明確な方向性やアプローチの違いがあることが分かりました。

• Security Command Center (SCC): Google Cloud純正ツールとの親和性が最も高く、追加インフラなしで手軽にネイティブな監視を始めたい場合の基本となります。無料のStandardティアだけでも強力です。
• Prowler: 圧倒的な網羅性を誇り、AWS等を含めたマルチクラウド環境において、統一された基準（CIS等）に基づく包括的な監査を行いたい場合に強力な基盤となります。
• Steampipe: クラウドの構成情報をSQLでクエリできるという独特なアプローチを持ち、自社特有のルールや詳細な構成の探索といった柔軟性を最優先する場合に魅力的です。
• Scout Suite: 見やすい視覚的なHTMLレポートを自動生成してくれるため、スポットでの監査やマネジメント層への報告用として手軽に活用したい場合に活躍します。

クラウド環境のセキュリティ監査において「これ一つで全て解決」という絶対的な正解はありません。 皆様の運用体制（マルチクラウドか単一クラウドか、継続的な監視パイプラインに組み込むかスポット監査か等）や、目指すセキュリティ要件に合致するかどうかを、ぜひ上記のツール特性も参考にチーム内で見極めてみてください。

適切なツールの選択、あるいはそれらの組み合わせ（SCC + Prowlerなど）により、皆様の環境で効果的なセキュリティガバナンスが実現できる一助となれば幸いです。