AWSセキュリティ

Amazon GuardDutyとは

機械学習・異常検知・脅威インテリジェンスを組み合わせてAWSアカウントとワークロードを継続的に監視するマネージドな脅威検出サービス。CloudTrailログ・VPCフローログ・DNSログを分析し、不審な挙動を検出する。

エージェント不要で有効化するだけで機能する。検出した脅威はFindingsとして出力され、EventBridge経由でSNSやLambdaに連携して自動対応を実装できる。

試験での問われ方

「不正なAPIコール検出」「マルウェア感染したEC2の検知」「外部の悪意あるIPとの通信検出」シナリオではGuardDutyを選ぶ。Security Hubと組み合わせてFindings集約、Macieと組み合わせてデータ保護が定番構成。

分析対象のデータソースが問われる。基盤となるのはCloudTrailの管理イベント（不審なAPIコール）・VPCフローログ（怪しい通信先）・DNSログ（マルウェアが使うドメインへの名前解決）で、いずれもエージェント不要でログから検出する点がポイント。さらにEKS監査ログやS3データイベント、RDSログイン異常など保護プランを追加で有効化できる。

Malware Protection機能を使うと、Findingの起点になったEC2のEBSボリュームをスキャンしてマルウェアの有無を確認したり、S3にアップロードされたオブジェクトをスキャンしたりできる。ただしGuardDutyはあくまで「検出」サービスであり、自動ブロックはしない。自動対応にはEventBridge+Lambdaによる実装が必要という点が引っかけになる。

公式ドキュメントを読む →

このサービスが登場する演習問題（9問）

関連サービス