c1.8 アクティブな脅威を検出する
偵察、認証情報の不正使用、コマンド＆コントロール、異常な挙動といったアクティブな脅威を、全アカウントで継続的に検出します。最も簡単な実現方法は Amazon GuardDuty によるワンクリックのマネージド検出です。そして、検出結果に誰か（または自動化）が対応するようにします。
実装ガイダンス
ワンクリックのマネージド脅威検出
Amazon GuardDuty は、クラウド環境で一般的な脅威を検出する最も簡単な方法です。組織全体で有効化すると、CloudTrail、DNS、VPC フローなどのシグナルを分析し、偵察、コマンド&コントロール、権限昇格、認証情報の持ち出し、異常な挙動を表面化します。構築すべきエージェントやログパイプラインはありません。
Extended Threat Detection
GuardDuty の Extended Threat Detection は、複数のシグナルを時間をまたいで単一の攻撃シーケンスの検出結果に相関させます。これにより、多段階攻撃が、散在する低深刻度のイベントではなく 1 つの高深刻度のストーリーとして表れます。オプションの保護プランは、S3、EKS/ランタイム、RDS のログインアクティビティ、Lambda、マルウェアへとカバレッジを拡張します。
検出には対応者が必要
GuardDuty は検出サービスであり、検出結果に対応して初めて価値を生みます。重大な検出結果を通知(EventBridge から Amazon SNS へ)に、そして理想的には自動応答にルーティングします。チームが GuardDuty の検出結果を読めるよう訓練し、重大/高深刻度のものから対応してください。
より高度なカスタム検出(SIEM、UEBA、ネットワーク異常検知)は後のフェーズで価値がありますが、労力とコストの点で Quick Win からは外れます。GuardDuty は今すぐ強力なカバレッジを提供します。
全体像
How to validate
- GuardDuty は組織全体(すべてのアカウントとリージョン)で有効ですか?
- 重大な検出結果は通知や自動応答にルーティングされていますか?
- チームは GuardDuty の検出結果を理解しトリアージできるよう訓練されていますか?
Threats addressed
- GuardDuty は、敵対者を早期に(偵察や一般的な攻撃手法の段階で)、目的を達成する前に検出します。
- 検出サービスであり、検出結果に誰かまたは何かが対応しなければ、検出だけでは攻撃を止められません。
AWS サービス
Amazon GuardDuty 
AWS Security Hub 
Amazon EventBridge 料金
GuardDuty は分析した量に応じて課金され、30 日間の無料トライアルでは課金対象となる使用量が表示されるためコストを見積もれます。GuardDuty の料金を参照してください。