c2.8 GuardDuty の検出結果をトリアージし、保護プランを有効化する
クリティカルな検出結果だけに対応してはいけません。中・低の検出結果も確認してください。偵察や初期段階の侵害の兆候が現れます。加えて、ワークロード全体で深いカバレッジを得るために GuardDuty の保護プランを有効化します。
実装ガイダンス
クリティカル以外の検出結果も調査する
基本的な検知プラクティスは、クリティカルなものだけでなく、Amazon GuardDuty の大半の検出結果をトリアージすることです。中・低の検出結果には、偵察や初期段階の侵害の試みがよく現れます。たとえば SSH ブルートフォースの検出結果は、公開された SSH サービスを攻撃者が探っていることを示します。失敗した試みであっても、その経路を塞ぐ合図です（たとえば Session Manager でインスタンスを管理し、セキュリティグループから開いた管理ポートを削除します）。
保護プランを有効化してカバレッジを深める
GuardDuty のオプションの保護プランは検知できる範囲を広げます。
- Runtime Monitoring: EC2・ECS・EKS のワークロード内部の挙動を観測するエージェント。不審な挙動の背後にあるプロセスとコンテナを特定し、より迅速に隔離できます。
- Malware Protection: 検出結果で疑わしいとされたインスタンスの EBS ボリュームをスキャンします。エージェント不要で性能への影響がありません。Amazon S3 向けも利用できます。
- S3 Protection: S3 バケットへの不審なアクセスを検出します。
- RDS Protection: Amazon Aurora と RDS に対する異常なログインやブルートフォースのログイン試行を検出します。
- EKS Protection と Lambda Protection: Kubernetes のコントロールプレーンの活動や Lambda のネットワーク活動へカバレッジを拡張します。
Extended Threat Detection で相関する
GuardDuty Extended Threat Detection は、複数のデータソースにわたるイベントを自動で相関させ、多段階の攻撃シーケンスを単一の検出結果として提示します。保護プランを多く有効化するほど、検出できるシーケンスの範囲が広がります。
全体像
How to validate
- クリティカルだけでなく、中・低の検出結果も確認していますか？
- どの GuardDuty 保護プランを有効にしていますか（Runtime Monitoring、Malware、S3、RDS、EKS、Lambda）？
- 検出結果はダッシュボードに留まらず、インシデント対応プロセスに連携されていますか？
Threats addressed
- クリティカルな検出結果だけに対応すると、偵察や初期段階の侵入がエスカレートするまで見過ごされます。
- 該当する保護プランを有効にしていないワークロードは、GuardDuty が可視化できないカバレッジの穴になります。
AWS サービス
Amazon GuardDuty 
Amazon S3 料金
無料トライアル · 30 日間
GuardDuty には 30 日間の無料トライアルがあり、オプション機能にはそれぞれ独自のトライアル期間があります。GuardDuty の料金を参照してください。