Amazon GuardDuty
機械学習を活用した脅威検出サービス
何ができるか
Amazon GuardDuty は、AWS アカウントとワークロードに対する脅威を継続的に監視・検出するマネージドサービスです。CloudTrail ログ、VPC Flow Logs、DNS ログなどを機械学習と脅威インテリジェンスで分析し、不正アクセス、マルウェア、暗号通貨マイニングなどの脅威を自動検出します。
どのような場面で使うか
AWS アカウントへの不正アクセスの検出、EC2 インスタンスのマルウェア感染の検知、S3 バケットへの異常なアクセスパターンの検出、IAM 認証情報の漏洩検知などに利用されます。 この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。
身近な例え
ビルの防犯カメラと AI 監視システムに例えられます。24 時間カメラ (ログ) で監視し、AI (機械学習) が不審な行動を自動検出して警備員 (管理者) に通報します。
GuardDuty とは
Amazon GuardDuty は、ワンクリックで有効化できる脅威検出サービスです。エージェントのインストールやログの設定は不要で、有効化するだけで AWS 環境の監視が開始されます。検出された脅威は「検出結果 (Finding)」として重要度 (低・中・高) 付きで報告されます。
検出できる脅威
GuardDuty は 3 つのカテゴリの脅威を検出します。偵察 (ポートスキャン、API の異常な呼び出し)、インスタンスの侵害 (マルウェア通信、暗号通貨マイニング、C&C サーバーへの接続)、アカウントの侵害 (通常と異なるリージョンからの API 呼び出し、IAM 認証情報の不正使用) です。EKS、S3、RDS、Lambda の保護機能も追加で有効化できます。
はじめかた
GuardDuty コンソールで「GuardDuty の有効化」をクリックするだけで開始できます。30 日間の無料トライアルが提供されます。検出結果は EventBridge と連携して Lambda で自動対応したり、Security Hub に集約して一元管理できます。Organizations と統合すれば、全アカウントで一括有効化が可能です。
注意点
- GuardDuty は脅威の検出のみを行い、自動的なブロックや修復は行わない。対応の自動化には EventBridge + Lambda の連携が必要
- 分析するログ量に応じた従量課金のため、大規模環境ではコストを事前に見積もること。30 日間の無料トライアルで実際のコストを確認できる
さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。
