クイックウィン脅威検知

c1.10 請求アラームとコスト異常アラームを設定する

支出の急増は、侵害(暗号資産マイニング、ボットネット)の最初に見える兆候であることが多いです。予期しないコストにアラームを設定し、次の請求書ではなく早期にセキュリティチームが気づけるようにします。

実装ガイダンス

なぜコストがセキュリティのシグナルなのか

攻撃者がアカウントに侵入すると、暗号資産のマイニングやボットネットの実行のために高価なコンピューティングを立ち上げることが多いです。それは他の何よりも先にコストの急増として現れるため、請求アラームは安価で価値の高い早期警告のトリップワイヤーになります。

2 つの補完的なアプローチ

CloudWatch の請求アラーム — 推定料金に対するしきい値アラームを設定します。セキュリティサービスだけでなく、請求総額とコンピューティングサービス(EC2、ECS、EKS、Lambda)にアラームを設定します。
AWS Cost Anomaly Detection — 機械学習を使い、しきい値を設定せずに異常な支出を検出し、根本原因の分析を支援します。無料です。

アラートは見られる場所へ送る

アラームは、実際に監視されている宛先(2 名以上の配布リスト、SMS、チャットチャネル)に送り、FinOps だけでなくセキュリティチームが受け取るようにします。誰も読まないコストアラームはコントロールではありません。

CLI で請求アラームを作成する

推定請求額のメトリクスは us-east-1 にあります。合計請求額がしきい値を超えたらアラームを発報し、セキュリティチームが購読する SNS トピックに通知します:

aws cloudwatch put-metric-alarm \
  --region us-east-1 \
  --alarm-name "billing-total-over-threshold" \
  --namespace "AWS/Billing" --metric-name EstimatedCharges \
  --dimensions Name=Currency,Value=USD \
  --statistic Maximum --period 21600 --evaluation-periods 1 \
  --threshold 500 --comparison-operator GreaterThanThreshold \
  --alarm-actions arn:aws:sns:us-east-1:111122223333:billing-alerts

How to validate

請求アラームは(セキュリティサービスだけでなく)請求総額とコンピューティングサービスに設定されていますか?
アラームはセキュリティチームに届きますか、それとも FinOps だけですか?
複数人(配布リスト)に届きますか?

Threats addressed

コストの急増は、悪用の早期かつ隠しにくいシグナルです。たとえば攻撃者による暗号資産マイニングや、ボットネット用リソースの立ち上げです。予期しない支出にアラームを設定すれば、侵害をより早く検出し、金銭的被害を抑えられます。

AWS サービス

AWS Budgets

Amazon CloudWatch

料金

AWS Cost Anomaly Detection は無料です。CloudWatch アラームとそれがトリガーする SNS 通知には少額の費用がかかります。CloudWatch の料金を参照してください。

Framework mappings

AWS CAF

caf-threat-detection Threat detection