Amazon GuardDuty
脅威の検出
CloudTrail、VPC Flow Logs、DNS ログ（オプションで S3、EKS、RDS、Lambda、マルウェア）を threat intelligence と機械学習で継続的に分析し、暗号通貨のマイニング、key の漏洩、悪意のある IP からのアクセスなどの不審な挙動を検出します。
- コスト$$ ふつう
- 難易度●●●●●
- 未使用でも課金？いいえ
- サーバーレス
- 出題試験CLF · SAA · SOA
たとえるなら不審者がうろついているのを見つけると自動で警報を鳴らす AI 搭載の防犯カメラのようなものです。
いつ使う？
✓ 使うべき場面
ほぼすべてのアカウントで、侵入検知のために有効にすべきです。
✗ 避けるべき場面
ルールに基づく Web 攻撃の遮断 → WAF。ソフトウェアの脆弱性スキャン → Inspector。
よくある使い方
- 暗号通貨をマイニングする EC2 の検出
- 不審な IP からの credential 使用の警告
- EBS/S3 上のマルウェアスキャン
料金はいくら？
- 課金方式: 分析された CloudTrail イベントの量とログ（VPC Flow、DNS）の GB 数に応じて課金され、追加で有効にした各 protection plan の料金が加算されます。
トラフィックの多いアカウントや多数の protection plan を追加で有効にしたアカウントでは、コストが大幅に増えることがあります。30 日間の無料トライアル後に console で見積もりを確認してください。
「エージェント不要で脅威検出、キー漏えい、悪意ある IP との通信を検出」なら GuardDuty、「ソフトウェア脆弱性スキャン」なら Inspector、「S3 の PII 検出」なら Macie、「Web 攻撃のブロック」なら WAF を選びます。
よくある質問
GuardDuty は Inspector や Macie と何が違いますか?
GuardDuty は進行中の不審な動作 (キーの漏えい、暗号通貨マイニング、悪意ある IP への接続など) を検出します。Inspector は EC2、コンテナイメージ、Lambda のソフトウェア脆弱性やネットワーク露出をスキャンします。Macie は S3 内の個人情報などの機密データを検出します。3 つは置き換えではなく補完関係です。
GuardDuty にエージェントのインストールやログの有効化は必要ですか?
基本のデータソースでは不要です。GuardDuty は CloudTrail、VPC フローログ、DNS ログを独立して読み取るため、それらのログを有効化・保存する必要はなく、パフォーマンスにも影響しません。拡張保護 (S3、EKS、RDS、Lambda、マルウェア) は必要に応じて個別に有効化します。
GuardDuty は攻撃を自動でブロックしますか?
いいえ、検出して finding を生成するだけです。自動で対応するには、finding を EventBridge に送り、Lambda や SSM でインスタンスの隔離やキーの無効化を実行します。複数アカウントでは Organizations で委任管理者を指定し、有効化と finding の確認を一元化します。サービスは Region ごとに動作します。
関連サービス
SAA-C03 対策
GuardDuty は次の対策モジュールで扱っています：