// シス担のミカタ
クラウドセキュリティ

Amazon GuardDuty あまぞん がーどでゅーてぃ

脅威検出AWS機械学習異常検知セキュリティ監視CloudTrail
GuardDutyについて教えて

簡単に言うとこんな感じ！

AWSのクラウド環境を24時間365日見張ってくれる「自動警備員」だよ！不審なアクセスや怪しい操作をAIが自動で検知して、「これ危ないかも！」ってアラートを出してくれるサービスなんだ。自分でログを解析する手間がゼロになるってこと！

GuardDutyとは

Amazon GuardDutyは、AWSが提供するマネージド型の脅威検出サービスです。AWS環境内で起きている不審なアクティビティや悪意ある動作を、機械学習・異常検知・脅威インテリジェンスを組み合わせて自動的に見つけ出してくれます。有効化するだけで即座に監視が始まり、自前でログ収集サーバーを用意したり、複雑な設定をしたりする必要がありません。

監視対象となるのは、AWS CloudTrail（API操作ログ）、VPC フローログ（ネットワーク通信の記録）、DNS ログ（名前解決の記録）など複数のデータソースです。これらを横断的に分析し、「通常ありえない時間帯に管理者権限でAPIが叩かれた」「マルウェアが使うとして知られているIPアドレスと通信している」といった異常をリアルタイムで検出します。

発注・選定担当者の視点で言えば、「セキュリティの専門チームがいなくても、AWSアカウントへの不正アクセスや情報漏えいの兆候をいち早くキャッチできる仕組み」です。月額コストもデータ処理量に応じた従量課金で、まず30日間は無料トライアルで試せます。

GuardDutyの仕組みと検出できる脅威

GuardDutyが何を見ていて、何を検出できるのかを整理します。

監視データソース何を見ているか検出例
AWS CloudTrailAWSのAPI操作履歴不審な権限昇格・ルートアカウントの利用
VPC フローログVPC内のネットワーク通信記録既知の悪意あるIPとの通信・ポートスキャン
DNS ログDNSの名前解決リクエストマルウェアC2サーバーへの通信
S3データイベントS3バケットへのアクセス操作大量データの外部流出・公開設定の改ざん
EKSログKubernetesクラスター操作コンテナ環境への不正侵入
RDS ログイン活動データベースへのログインブルートフォース攻撃の試み

検出カテゴリの覚え方

GuardDutyが出すアラート（Findingと呼ぶ）は大きく3種類に分類されます。

脅威の種類
├── Backdoor    … マルウェア感染・ボット化の疑い
├── Recon       … 偵察行為（ポートスキャンなど下調べ）
├── CryptoCurrency … 暗号通貨マイニングへの悪用
├── Trojan      … トロイの木馬的な不正通信
├── UnauthorizedAccess … 不正な認証情報利用
└── Stealth     … ログ削除・証拠隠滅の試み

語呂合わせ：「バックリクリプトトロステ」（Backdoor・Recon・CryptoCurrency・Trojan・UnauthorizedAccess・Stealth）の頭文字を並べて覚えるのがコツ！

重要度レベル（Severity）

レベル数値範囲意味対応の目安
High7.0〜8.9即時対応が必要数時間以内に調査
Medium4.0〜6.9要調査数日以内に確認
Low0.1〜3.9参考情報定期レビュー時に確認

歴史と背景

  • 2017年11月 — AWS re:Invent 2017 にて Amazon GuardDuty が正式リリース。当初は CloudTrail・VPCフローログ・DNSログの3ソースのみ対応
  • 2018年〜 — AWS Organizations との統合が進み、複数アカウントを一元管理できる「マスターアカウント」機能が追加。大企業での採用が加速
  • 2020年 — S3の保護機能（S3 Protection）が追加。S3バケットへの不審なアクセスも検出対象に
  • 2022年 — EKS（Kubernetes）監視機能が追加。コンテナ環境のセキュリティ需要増に対応
  • 2023年 — RDS Protection・Lambda Protection など対応サービスが大幅拡張。マルウェアスキャン機能（EBSボリュームのスキャン）も登場
  • 現在 — AWSアカウントを持つ企業の多くが「まず有効化すべきセキュリティの基本」として採用。有効化率はAWS利用企業の中でも特に高いサービスのひとつ

背景には、クラウド利用の拡大にともなう「設定ミスによる情報漏えい」や「認証情報の不正利用」事件の増加があります。従来型のSIEM（ログ収集・分析基盤）を自前で構築するには専門知識と多大なコストが必要でしたが、GuardDutyはそのハードルをほぼゼロにしました。

類似サービス・関連サービスとの比較

GuardDutyは「検出」に特化したサービスです。周辺のAWSセキュリティサービスとの役割分担を理解しておくと発注・選定がしやすくなります。

AWSセキュリティサービスの役割分担 GuardDuty 脅威の検出・通知 Security Hub 発見事項の集約・管理 Inspector 脆弱性スキャン Config 設定コンプライアンス監査 Macie S3の機密データ検出 不審なAPIコール・通信を自動検出 AIが異常パターンを24h監視 GuardDuty含む複数サービスの アラートを一画面で管理 EC2・コンテナのOSや ライブラリの脆弱性を検出 リソースの設定が社内ルール・ コンプライアンスに準拠しているか S3内の個人情報・クレカ番号など 機密データを自動分類 担当フェーズ 検出（Detective） 担当フェーズ 集約・可視化 担当フェーズ 予防（Preventive） 担当フェーズ コンプライアンス 担当フェーズ データ保護 GuardDutyは「脅威の検出」専門。Security Hubと組み合わせるのが定番

GuardDuty vs 競合サービス

比較項目Amazon GuardDutyMicrosoft Defender for CloudGoogle Security Command Center
対応クラウドAWS専用Azure中心（AWS/GCP部分対応）GCP専用
設定の手間ほぼゼロ（有効化のみ）中程度中程度
機械学習ありありあり
価格体系従量課金ライセンス+従量従量課金
マルチアカウント管理Organizations連携で一元化管理グループ連携組織ポリシー連携

関連する規格・RFC

規格・番号内容
NIST SP 800-53連邦情報システムのセキュリティ管理策。GuardDutyは「SI-4 情報システム監視」など複数の管理策を自動的に充足する
CIS AWS Foundations BenchmarkAWSのセキュリティベストプラクティス。GuardDutyの有効化が推奨事項として明示されている

関連用語

  • AWS CloudTrail — AWS上のAPI操作をすべて記録する監査ログサービス。GuardDutyの主要データソース
  • Amazon Security Hub — GuardDutyを含む複数のAWSセキュリティサービスのアラートを一元集約するサービス
  • VPCフローログ — VPC内のネットワーク通信を記録するログ。GuardDutyの監視対象のひとつ
  • Amazon Macie — S3バケット内の機密データを自動検出するAWSサービス
  • AWS Inspector — EC2インスタンスやコンテナの脆弱性を自動スキャンするサービス
  • SIEM — セキュリティ情報・イベント管理。ログを収集・分析してインシデントを検出する仕組みの総称
  • 脅威インテリジェンス — 既知の攻撃者IPやマルウェア情報などのセキュリティ知識ベース。GuardDutyが検出に活用
  • IAM — AWSのIdentity and Access Management。不正なIAMキー利用もGuardDutyが検出する