Amazon GuardDuty
機械学習と脅威インテリジェンスを活用して AWS アカウントとワークロードの脅威を継続的に監視・検出するマネージド脅威検出サービス
概要
Amazon GuardDuty は、AWS アカウント、ワークロード、データに対する悪意のあるアクティビティや異常な動作を継続的に監視・検出するインテリジェントな脅威検出サービスです。VPC Flow Logs、CloudTrail イベントログ、DNS ログ、S3 データイベント、EKS 監査ログ、Lambda ネットワークアクティビティログなどのデータソースを自動的に分析し、機械学習、異常検出、統合された脅威インテリジェンスを使用して脅威を特定します。不正な API 呼び出し、暗号通貨マイニング、C&C サーバーとの通信、ブルートフォース攻撃、S3 バケットへの不審なアクセスなど、幅広い脅威パターンを検出します。検出結果は重要度 (High、Medium、Low) で分類され、EventBridge と連携して自動修復アクションをトリガーすることも可能です。有効化はワンクリックで完了し、既存のインフラに変更を加える必要はありません。
検出タイプの分類と重要度の読み方
GuardDuty は 100 種類以上の検出タイプを持ち、Recon (偵察 - ポートスキャンや API 列挙)、UnauthorizedAccess (不正アクセス - 異常な場所からのログインや API 呼び出し)、Trojan (トロイの木馬 - C&C サーバーとの通信や暗号通貨マイニング)、Exfiltration (データ流出 - S3 からの大量ダウンロード) の 4 カテゴリに大別されます。各検出結果には High / Medium / Low の重要度が付与され、High は即時対応が必要な脅威 (暗号通貨マイニング、既知の悪意ある IP からのアクセスなど) を示します。Microsoft Defender for Cloud が脅威検出に加えてセキュリティポスチャ管理や脆弱性評価まで統合する広範なサービスであるのに対し、GuardDuty は脅威検出に特化し、VPC Flow Logs、CloudTrail、DNS ログなど AWS ネイティブのデータソースとの深い統合により高精度な検出を実現しています。
EventBridge 連携による自動修復
GuardDuty の検出結果は EventBridge にイベントとして発行されるため、Lambda 関数をトリガーして自動修復アクションを実行できます。たとえば、侵害された EC2 インスタンスのセキュリティグループを隔離用に差し替える、不正な IAM アクセスキーを即座に無効化する、Slack や PagerDuty に通知を送信するといった対応を人手を介さず実行できます。重要度に応じてルールを分け、High は即時自動修復 + 通知、Medium は通知のみ、Low はログ記録のみといった段階的な対応フローを設計するのが実践的です。脅威検知の関連書籍 (Amazon) では、自動修復パターンの設計が詳しく解説されています。
マルチアカウント環境と追加保護機能
AWS Organizations との統合により、セキュリティアカウント (委任管理者) から全メンバーアカウントの GuardDuty を一括有効化し、検出結果を一元管理できます。新しいアカウントが Organizations に追加されると自動的に GuardDuty が有効になるため、保護の抜け漏れを防止できます。Malware Protection を有効にすると、EC2 インスタンスや ECS コンテナでマルウェアの兆候が検出された際に EBS ボリュームの自動スキャンを実行します。S3 Protection は S3 バケットへの不審なアクセスパターン (公開設定の変更、Tor ネットワーク経由のアクセスなど) を検出し、EKS Protection は Kubernetes 監査ログを分析してコンテナ環境の脅威を特定します。料金は分析したログ量に基づく従量課金で、CloudTrail イベント 100 万件あたり約 4.72 ドル、VPC Flow Logs 1 GB あたり約 1.18 ドルです。