脅威検出サービス Amazon GuardDuty をグラレコで解説

クラウド環境を安全に運用するためには、セキュリティ対策が最重要事項の一つです。日々生まれる新種の脅威に対抗するために、クラウドセキュリティ対策はいかに迅速に最新の対策を講じるかが重要になります。

クラウド環境の利用には多くの利点がありますが、同時に以下のようなセキュリティ上の課題も存在します。

GuardDuty はクラウドセキュリティに関連するこれらの課題に対応するために設計された強力なセキュリティサービスです。
GuardDuty の主な特徴は以下のとおりです。

GuardDuty は、機械学習、異常検知、脅威インテリジェンスなどを組み合わせ、既知および未知の両タイプの脅威を検出します。AWS 環境全体のログを 24 時間 365 日継続的にモニタリングし、潜在的な脅威をリアルタイムで可視化します。導入も簡単で、コンソール上ですぐに高度なセキュリティ対策を有効にでき、誰もが手軽に包括的なクラウドセキュリティを実現できるサービスです。

その他、GuardDuty の特徴について詳しくは、製品ページの「Amazon GuardDuty の特徴」をご覧ください。

GuardDuty による保護は、AWS マネジメントコンソール上の GUI 操作で簡単に開始できます。AWS が提供する主要なセキュリティサービスの中でも、GuardDuty は容易に導入できるサービスの 1 つと言えます。

GuardDuty を有効化した際に、基礎データソースで監視対象となるログは以下のとおりです。

上記以外にも、GuardDuty を有効化するとランタイムモニタリングを除くすべての保護プランが有効になり、各保護プランの対象のデータソースが監視対象となります。

GuardDuty は、基礎データソースのログ監視に加えてオプションで監視対象を拡張できます。GuardDuty 有効化時は、ランタイムモニタリングを除くすべての保護プランが自動的に有効になり、対象となる AWS サービスやワークロードに対する包括的な脅威検知が可能になります。保護プランは、個別に有効化 / 無効化を設定でき、監視対象を柔軟に選択できます。

• S3 Protection：
  Amazon S3 バケットへの不審なアクティビティやポリシー違反をモニタリングします。データの改ざんや不正アクセスを検出できます。
• EKS Protection：
  Amazon EKS クラスターのコントロールプレーンとデータプレーンの両方を包括的に監視し、マルウェアの実行やクラスター構成の不正変更などの脅威を検出します。
• ランタイムモニタリング：
  Amazon EC2 インスタンスやコンテナワークロードの OS レベル、ネットワーク、ファイルシステムイベントをリアルタイムで監視し、マルウェアの実行や悪意のあるアクティビティを検出します。
• Malware Protection：
  Amazon EC2 インスタンスやコンテナに接続された Amazon EBS ボリュームをスキャンし、既知のマルウェアシグネチャと動作を検出します。
• RDS Protection：
  Amazon Aurora データベースへの不審なログインアクティビティを監視し、データベースへの不正アクセスを検出します。
• Lambda Protection：
  AWS Lambda 関数の呼び出しを監視し、不審な呼び出しパターンや悪意のあるペイロードを検出します。
  

GuardDuty の有効化について詳しくは、「GuardDuty 機能のアクティベーション」をご覧ください。

GuardDuty は、すでに情報が特定されている既知の脅威と、まだ特定されていない未知の脅威の両方を検出するように設計されています。脅威インテリジェンスや機械学習などを活用することで、既知の脅威と未知の脅威の両方への包括的なアプローチでクラウド環境を保護します。

既知の脅威検出では、脅威インテリジェンスフィードや数百万件におよぶマルウェア分析結果が活用されます。一方、未知の脅威検出では、機械学習や異常検知システムが活用されます。

未知の脅威は、新しい攻撃ベクトルやゼロデイ脆弱性の悪用など、従来のセキュリティソリューションでは特定が困難な脅威です。GuardDuty は以下のような先進的な技術で未知の脅威を検出します。

• シグナル パターンの解析：
  DNS 通信、API コールログ、ネットワークフローなど、様々な AWS サービス ログから得られるシグナルのパターンを解析します。機械学習モデルを活用して、通常の行動からの逸脱を特定し、未知の脅威の兆候を検出します。
• 異常検知システム：
  GuardDuty は AWS 環境の正常な動作パターンを機械学習で学習し、高度な異常検知システムを構築します。正常な動作パターンからの逸脱を検知し、未知の脅威を特定します。
• 機械学習の活用：
  過去の脅威事例から学習したパターンを活用し、新たな未知の脅威を検出します。GuardDuty は、コンテキストデータ、振る舞い分析、統計分析を組み合わせることで、高度な機械学習モデルを適用し、進化し続ける脅威を捕捉します。

GuardDuty は、脅威インテリジェンス、高度なログ分析、機械学習を組み合わせることで、クラウド環境を包括的に保護します。既知の脅威に対しては迅速な検出と対応を可能にし、未知の脅威に対しては先進的な技術で特定し、AWS 環境の安全性を確保します。この多角的なアプローチにより、GuardDuty は動的で信頼性の高いセキュリティソリューションを提供します。

GuardDuty の脅威検知について詳しくは、「Amazon GuardDuty による脅威検知」をご覧ください。

GuardDuty では、検出した脅威に対する対応プロセスを Amazon EventBridge と AWS Lambda を活用して自動化できます。自動化により、セキュリティオペレーションの効率化とインシデント対応の迅速化を実現できます。

Amazon EventBridge に GuardDuty のイベントソースを設定し、検出結果に基づくルールを作成することで、脅威検出時に自動で Lambda 関数を呼び出すことができます。

EventBridge から呼び出される Lambda 関数では、GuardDuty の検出結果に応じた対応処理を実装できます。例えば以下のような処理が可能です。

• 検出結果の内容に基づいた優先度判定とアクション実行
• 他の AWS サービスの API をコールしてリソースを制御 (EC2 インスタンスの隔離など)
• 検出結果の加工やフィルタリング
• 検出結果の別システムへの転送
  

GuardDuty は、Amazon EventBridge や  AWS Lambda などと連携することで、検出した脅威への対応を柔軟にカスタマイズして自動化できます。なお、GuardDuty、EventBridge、Lambda はいずれもリージョンレベルで提供されるサービスであり、リージョンをまたいだ運用を行う場合は各リージョンでの個別の設定が必要になります。

上記のほかにも GuardDuty は、AWS Security Hub や Amazon Detective など他の AWS サービスとシームレスに統合でき、検出結果の管理や可視性を強化できます。詳しくは、「GuardDuty と AWS のサービスとの統合」をご覧ください。

GuardDuty は、分析されるログデータの量に基づいて従量課金制で料金が発生します。料金は以下の 2 つの要素から構成されています。

GuardDuty はセキュリティ分析のためのログデータ処理に対して、従量課金制の料金モデルを採用しています。料金は主に以下の「基本料金」と「保護プラン」の 2 つの要素から構成されます。

GuardDuty を有効化すると、AWS 環境内の基本的なログデータソースである、CloudTrail ログ、VPC フローログ、DNS クエリログの継続的な監視が開始され、それらの分析に対して基本料金が発生します。基本料金は、リージョンによって異なります。

GuardDuty には、基本のデータソースに加えて、AWS 環境内の他のデータソースからのデータを使用して脅威を検出する保護プランがあり、追加料金が発生します。保護プランの料金は、リージョンと保護対象のサービスによって異なります。

保護プランによっては、VPC フローログや DNS クエリログと同様にボリュームディスカウントが有効になります。保護プランごとの利用料金について詳しくは、製品ページの「GuardDuty 保護プラン」セクションをご覧ください。

以下は、アジアパシフィック (東京) リージョンで GuardDuty を一般的な構成で利用した場合の料金例です。

新規の GuardDuty アカウントには、保護プランごとに有効化後 30 日間の無料トライアル期間が付与されます。

GuardDuty の料金体系について詳しくは、「Amazon GuardDuty の料金」をご覧ください。

GuardDuty の無用なコストを避けるため、以下のような点に留意してください。

• 30 日間の無料トライアル期間を利用して、必要な保護プランを選定し、コストを見積もることができます。
• 月の初めにコスト単価が高くなる傾向がありますが、ボリュームディスカウントにより月を通して分析イベント量が増加するにつれ段階的にコスト単価が安くなります。
• コスト増加の要因を特定するために、Amazon Athena や CloudWatch Insights を活用して、CloudTrail イベント、VPC フローログ、DNS クエリログの利用状況を分析できます。
• アカウントの構成変更や新規のアプリケーションのデプロイ、サードパーティのセキュリティツールの使用などによって、出力されるログの量が増えコストが増加する場合があります。

その他、GuardDuty のコスト最適化のベストプラクティスについて詳しくは、「Amazon GuardDuty Best Practices (英語)」をご覧ください。

最後に、本記事で紹介した機能の全体図を見てみましょう。