【まとめ】脅威検出サービス GuardDuty の使い方

こんにちは。
AWS環境のセキュリティ対策のひとつである GuardDuty の使い方について説明していきたいと思います。

こんな人へ

GuardDuty って何？って方
GuardDuty を導入検討中の方
AWS環境のセキュリティについて気になっている方

GuardDutyって何？

概要

・セキュリティの観点から脅威リスクを検知するサービス

・分析のソースには下記を利用し、メタデータの連続ストリームを分析
　VPC Flow Logs
　AWS CloudTrail Event Logs
　DNS Logs

・悪意のあるIPアドレス、異常検出、機械学習などの統合脅威インテリジェンスを使用して脅威を認識

脅威の検知

AWS環境を利用するにあたって、インターネットを利用したサービスやAWSアカウントに対する脅威に常にさらされています。
GuardDutyはこれらの脅威を検出し、重要度を設定し通知してくれるため、素早い対応が可能となります。

✔ 検知するFindingsには重要度(Severity)を設定
✔ 重要度は、0.0 – 10.0 の範囲で設定
　・High (重要度: 高) : Severity 7.0 – 8.9
　　例) EC2 instance / IAM user credentials 関連
　・Medium (重要度: 中) : Severity 4.0 – 6.9
　　例) 大量トラフィック、通常アクティビティから外れる動き
　・Low (重要度: 低) : Severity 0.1 – 3.9
　　例) リソースに影響を及ぼす前にブロックされた悪意の疑いのあるアクティブティ

東京リージョンでも利用可能
非常に低コスト体系＋30日間の無料枠
外部からの脅威を検出しレベル別に表示する
使用方法は非常に簡単

GuardDutyの使い方

AWS マネージメントコンソールより、GuardDutyの画面を開く
初めて利用する方は以下の画面が表示されるので「今すぐ始める」をクリック

「GuardDutyの有効化」をクリック

これでGuardDutyの有効化は完了（簡単ですね）

あとは自動的にログ・イベントを分析し脅威の検出を始めます

※GuardDutyを有効にすると、サービスにリンクされたロールとしてAWSServiceRoleForAmazonGuardDutyが自動的に作成される

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeImages"
      ],
      "Resource": "*"
    }
  ]
}

ただし、これは各リージョンで実施する必要があります。
攻撃者は普段利用しないようなリージョンをターゲットにする場合があります。

全リージョンへの一括設定はこちらをご参照ください。