▪️目的

AWSを利用していると、「セキュリティ対策はどうすればいいんだろう？」と疑問に思うことがあります。

AWSには、さまざまなセキュリティサービスが用意されています。

その中でも、AWS環境の中で不審な動きや脅威を検知してくれるサービスがAmazon GuardDutyです。

今回は、AWS初心者向けにGuardDutyとは何なのか、どのような仕組みで脅威を検知するのかをわかりやすく解説します。

▪️GuardDutyとは？

Amazon GuardDutyは、AWS環境を継続的に監視し、不正アクセスやマルウェア感染などのセキュリティ上の脅威を検知するサービスです。

例えば、AWS環境で以下のような不審な動きが発生した場合に、GuardDutyが検知してくれます。

• 不審なIPアドレスからのアクセス
• 認証情報の不正利用
• EC2インスタンスに対する不審な通信
• マルウェアに関連する活動
• 暗号資産のマイニングなどの不審な活動

GuardDutyは、AWS環境を監視して「何か怪しい動きがないか」を確認してくれるサービスだと考えるとわかりやすいです。

▪️GuardDutyで何ができる？

GuardDutyの主な役割は、AWS環境における脅威の検知です。

例えば、通常とは異なる場所からAWSの認証情報が利用されていたり、EC2から不審な通信が発生していたりすると、その活動を分析して脅威として検知することがあります。

検知した内容は「Finding（検出結果）」として確認できます。

そのため、GuardDutyを利用することで、AWS環境で発生しているセキュリティ上の問題を発見するための手がかりを得ることができます。

▪️GuardDutyはどのように脅威を検知する？

GuardDutyでは、AWS環境で発生するさまざまな情報を分析して、脅威を検知します。

代表的なものとして、以下のようなデータがあります。

• AWS CloudTrailのログ
• VPC Flow Logs
• DNSログ
• EC2などのAWSリソースに関する情報

これらの情報をGuardDutyが分析し、AWS環境で不審な活動が発生していないかを確認します。

つまり、

AWS環境で活動が発生する

↓

GuardDutyが関連するデータを分析する

↓

不審な活動を検知する

↓

Findingとして結果を確認する

という流れになります。

▪️GuardDutyとCloudTrailの違い

GuardDutyを理解するときに、CloudTrailとの違いも重要です。

CloudTrailは、AWSアカウント内で行われたAPI操作などのログを記録するサービスです。

一方、GuardDutyは、そのような情報などを利用して、セキュリティ上の脅威を検知するサービスです。

簡単に考えると、

CloudTrail
→「AWSで何が行われたのかを記録する」

GuardDuty
→「その中に怪しい活動がないかを検知する」

という違いがあります。

そのため、CloudTrailとGuardDutyは競合するサービスではなく、役割が異なります。

▪️GuardDutyとSecurity Hubの違い

AWSには、Amazon Security Hubというセキュリティサービスもあります。

GuardDutyは主に脅威の検知を担当します。

一方、Security HubはAWS環境のセキュリティ状態や、複数のセキュリティサービスからの検出結果をまとめて確認するために利用できます。

そのため、

GuardDuty
→ 脅威を検知する

Security Hub
→ セキュリティに関する情報を集約して確認する

というイメージです。

▪️GuardDutyのメリット

GuardDutyを利用するメリットとして、次のようなものがあります。

♦︎AWS環境を継続的に監視できる

GuardDutyは、AWS環境を継続的に分析して脅威を検知します。

そのため、常に人がAWS環境を確認し続ける必要がなく、セキュリティ監視を自動化できます。

♦︎不審な活動を検知できる

AWS環境で発生している活動を分析し、セキュリティ上の脅威につながる可能性がある活動を検知できます。

♦︎AWSのセキュリティ対策を強化できる

IAMやセキュリティグループなどのアクセス制御だけではなく、実際に発生している活動を監視する仕組みを追加できます。

▪️GuardDutyだけでセキュリティ対策は十分？

ここは注意が必要です。

GuardDutyは非常に便利なサービスですが、GuardDutyだけですべてのセキュリティ対策が完了するわけではありません。

AWSでは、複数のサービスを組み合わせてセキュリティ対策を行います。

例えば、

• IAM → アクセス権限を管理する
• Security Group → 通信を制御する
• CloudTrail → API操作などを記録する
• GuardDuty → 脅威を検知する
• AWS Config → AWSリソースの設定状態を確認する
• Security Hub → セキュリティ情報を集約する

というように、それぞれ役割が異なります。

GuardDutyは、この中でも**「AWS環境で発生している脅威を検知する」役割**を担当します。

▪️GuardDutyで検知した後はどうする？

GuardDutyは、脅威を検知するところが主な役割です。

そのため、検知した後にどのような対応をするのかも重要になります。

例えば、

GuardDutyが不審な活動を検知

↓

Findingを確認

↓

影響を受けているリソースを確認

↓

原因を調査

↓

必要に応じてアクセスキーの無効化やリソースの隔離などを実施

といった対応につなげます。

また、Amazon EventBridgeと組み合わせることで、GuardDutyの検出結果をトリガーとして後続処理を実行する構成も考えられます。

例えば、特定のFindingが発生した場合に通知を送ったり、自動対応につなげたりすることができます。

▪️まとめ

今回は、Amazon GuardDutyについて解説しました。

GuardDutyは、AWS環境を継続的に監視し、不正アクセスやマルウェアなどのセキュリティ上の脅威を検知するサービスです。

ポイントをまとめると、

• AWS環境の脅威を検知するサービス
• AWS環境の活動を継続的に分析する
• 不審な活動をFindingとして確認できる
• CloudTrailなどの情報を利用して脅威を検知する
• CloudTrailは「記録」、GuardDutyは「脅威の検知」
• Security Hubはセキュリティ情報の集約を担当する
• GuardDutyだけでなく、複数のAWSサービスを組み合わせてセキュリティ対策を行う

という点が重要です。

AWSのセキュリティを理解するうえでは、「アクセスを制御する」だけではなく、「実際に怪しい活動が起きていないかを検知する」ことも重要です。

GuardDutyは、そのための代表的なAWSセキュリティサービスです。