GuardDutyが検出するものとその理由

Amazon GuardDutyは、AWSが提供するマネージド脅威検出サービスです。最大の特徴は、エージェントもデプロイするソフトウェアも必要ないことです。有効化するだけで、AWSのテレメトリを分析し、悪意のある動作や不正な動作の検出を開始します。そのため、アカウント全体や組織全体へ迅速に導入できます。

GuardDutyは既存のデータソースを継続的に取り込み、分析します。そのうえで脅威インテリジェンス、異常検出、機械学習を適用し、不審なアクティビティを見つけます。AWSがすでに生成しているログを読み取るため、ワークロードを変更せずに検出機能を追加できます。すべてマネージドサービスとして動作します。

GuardDutyはアカウントとネットワークのアクティビティを分析し、脅威を検出します。偵察行為、侵害されたインスタンス、アカウントの通常とは異なる動作などを見つけられます。たとえば、既知の悪意あるIPアドレスとの通信、通常とは異なる場所からの認証情報の使用、セキュリティログを無効化しようとする試みなどです。

GuardDutyは、AWSおよびサードパーティの脅威インテリジェンスフィードを利用します。これは、悪意があると判明しているIPアドレスやドメインのリストです。リソースがそのいずれかと通信すると、検出結果が生成されます。独自の信頼済みIPリストや脅威IPリストを追加して、環境に合わせて検出を調整することもできます。

GuardDutyは既知の悪意あるリストだけでなく、アカウントの通常の動作も学習し、異常を検出します。新しい国からのAPI呼び出し、通常とは異なるアクティビティの急増、これまでにない方法でのロールの使用などが、検出結果の生成につながります。これにより、ブロックリストでは把握できない未知の攻撃も検出できます。

重要な点として、GuardDutyは検出とアラートを行いますが、ブロックはしません。検出した内容を説明する検出結果を生成します。検出結果に対応するには、EventBridgeで修復処理をトリガーするなど、自動化と連携します。この「検出」と「防止」の違いは、試験で頻繁に問われます。

GuardDutyでは、AWS Organization全体の検出を管理する委任された管理者を設定できます。1つのセキュリティアカウントから、すべてのメンバーアカウントでGuardDutyを有効化し、検出結果を一元的に確認できます。各アカウントを手作業で設定せずに、検出機能を大規模に展開できます。

エージェント、サーバー、構築が必要なログパイプラインがないため、GuardDutyの運用コストは非常に低くなります。料金は分析したデータ量に基づいて発生します。この導入しやすさから、組織が最初に有効化する検出サービスとして選ばれることがよくあります。

GuardDutyの検出結果は、集約のためにSecurity Hubへ、調査のためにDetectiveへ、対応のためにEventBridgeへ自然に連携できます。GuardDutyは単独で使うツールではなく、より大きな脅威対応パイプラインの中心にある検出エンジンです。

GuardDutyは、信頼済みIPリスト（決して検出対象にしたくないアドレス）や脅威IPリスト（常に検出対象にしたいアドレス）に加え、想定内の検出結果をアーカイブする抑制ルールによって調整できます。この調整によりノイズを減らし、アナリストが本当の脅威に集中できるようになります。試験では、GuardDutyが固定的なブラックボックスではなく、環境に合わせて調整できることが問われます。

GuardDutyとAmazon Inspectorを混同しないでください。GuardDutyは稼働中のアクティビティを監視し、アクティブな脅威や侵入を検出します。Inspectorは、パッチ未適用のソフトウェアや危険なネットワーク到達性などの脆弱性を、悪用される前にスキャンします。一方は実行時の脅威検出、もう一方は脆弱性評価であり、試験では目的に応じてどちらを選ぶべきかがよく問われます。

GuardDutyの基礎知識を確認しましょう。

GuardDutyは、既存のAWSテレメトリを脅威インテリジェンス、異常検出、機械学習と組み合わせて分析する、エージェントレスのマネージド脅威検出サービスです。検出結果によって警告しますが、ブロックはしません。修復には自動化が必要です。委任された管理者を設定すると、Organization全体で有効化でき、検出結果はSecurity Hub、Detective、EventBridgeに連携されます。