Amazon GuardDuty で実現する脅威検出 - ML ベースの異常検知とインシデント対応
GuardDuty による脅威検出の仕組み、検出結果の分類、Security Hub との統合によるインシデント対応を解説します。
GuardDuty の概要
GuardDuty は AWS アカウントとワークロードの脅威を継続的に検出するサービスで、200 種類以上の脅威パターンを識別します。CloudTrail イベント、VPC Flow Logs、DNS クエリログを自動的に分析し、不正な API 呼び出し、暗号通貨マイニング、C&C サーバーとの通信、ブルートフォース攻撃などを検出します。有効化はワンクリックで、既存のログ設定を変更する必要がありません。
検出結果と対応
検出結果は Recon (偵察)、UnauthorizedAccess (不正アクセス)、CryptoCurrency (暗号通貨マイニング)、Trojan (トロイの木馬) などのタイプに分類されます。重要度 High の検出結果は即座に対応が必要で、EventBridge ルールで Lambda を起動し、侵害された IAM 認証情報の無効化や EC2 インスタンスの隔離を自動実行できます。Security Hub との統合で GuardDuty の検出結果を他のセキュリティサービスの結果と統合し、セキュリティ態勢を一元管理できます。
保護プランと Organizations 統合
GuardDuty の保護プランは基本的な脅威検出に加え、 S3 Protection (S3 データイベントの分析)、 EKS Protection (Kubernetes 監査ログの分析)、 Malware Protection (EC2 と ECS のマルウェアスキャン)、 RDS Protection (RDS ログインアクティビティの分析)、 Lambda Protection (Lambda のネットワークアクティビティの分析)、 Runtime Monitoring (EC2/ECS/EKS のランタイム脅威検出) を提供します。 Organizations の委任管理者で全アカウントの GuardDuty を一元管理し、新規アカウントの自動有効化を設定します。検出結果は Security Hub に自動集約されます。 GuardDuty について体系的に学びたい方は、関連書籍 (Amazon)も参考になります。
GuardDuty の料金最適化
GuardDuty の基本料金は CloudTrail 管理イベントと VPC Flow Logs の分析量で課金されます。CloudTrail イベントは 100 万イベントあたり約 4 ドル、VPC Flow Logs は 1 GB あたり約 1 ドルです。各保護プランは追加料金が発生し、S3 Protection は S3 データイベント 100 万イベントあたり約 0.80 ドルです。30 日間の無料トライアルで実際のコストを確認してから有効化を判断します。Malware Protection はスキャン対象のデータ量で課金されるため、スキャン対象を重要なワークロードに限定してコストを管理します。
まとめ
GuardDuty は ML と脅威インテリジェンスで AWS 環境の脅威を自動検出するサービスです。S3、EKS、Lambda、RDS、Runtime Monitoring の保護プランで多層的な脅威検出を提供し、Organizations 統合で全アカウントのセキュリティを一元管理します。EventBridge 連携で検出結果に対する自動修復アクションを構築し、セキュリティ運用を自動化します。