Amazon GuardDutyによる脅威検出のシナリオ判断
不審な認証情報利用や通信が見つかった場面で、所見の意味と次の対応を判断します。脆弱性の修正、機密データの発見、監査証跡と混同しない練習です。
この単元で学ぶこと
- 脅威の兆候に対するサービスと調査を選ぶ
- 監視範囲・試験所見・通知の限界を説明する
- 検出と具体的な対応の完了を区別する
本文解説
1. 見慣れない操作が続いたら 通常と異なる接続先や認証情報の利用を見つけたい場合、活動の分析を担うGuardDutyを検討します。インストール済みパッケージが古いかという問いとは異なります。利用者、資源、時刻、操作の状況を確認し、許可された作業との関係を調べます。
2. 所見を受けて調べる 不審な活動の所見には影響資源や活動の情報があります。まず対象と重要度を把握し、関連する操作を確認します。たとえ重要な所見でも、受信した事実だけを「侵害確定」「原因解消」「業務復旧」のどれかと同じにしないことが重要です。
3. 対応の成功を別に確認 EventBridgeから対応処理へつないでも、権限不足や処理失敗があれば期待した変更は実施されません。通知が届いたか、対応処理が成功したか、対象の状態が変わったかを分けて確認します。自動化するなら誤った隔離を戻す手順も用意します。
4. 二つの所見の違い パッケージの既知脆弱性はInspector、不審な活動はGuardDutyという主目的の違いがあります。同じEC2について両方の所見があれば、更新と活動調査の両方が必要になり得ます。パッチを当てただけで漏えいした認証情報の問題も解消したとは判断しません。
5. S3に関する二種類の問い 保存文書に機密情報が含まれるかはMacie、不審なS3データアクセスはGuardDutyのS3 Protectionが関係します。さらに悪意あるファイルを調べるMalware Protectionも別の観点です。「S3を守る」という言葉だけで選ばず、内容・活動・マルウェアのどれを調べたいか明確にします。
6. 所見ゼロの読み方 未有効のリージョンや対象外の資源、必要な保護機能が無効な範囲について、所見がないことを安全の根拠にはできません。運用開始時には対象アカウントと地域を整理し、利用機能を確認します。画面の件数だけでは分析範囲は分かりません。
7. 試験と本番を分ける サンプル所見は通知経路や担当者の手順を試すのに使えます。その所見が出たことは本番に実攻撃があった証拠ではありません。また一種類の通知成功を、全種別のルールと対応の成功へ広げないよう、必要な条件ごとに確認します。
8. 記録を残して役割をつなぐ 調査対象、判断、対応結果を残し、他サービスの所見とも合わせて評価します。Security Hub CSPMは横断的な所見の集約に利用できます。監査のために必要な生ログの保存は別途要件を確認し、所見一覧だけで全操作の履歴が揃うとは考えません。
図解
重要ポイント
- 検出・通知・変更の実施・復旧を別々に確認する。
- S3の内容分類とアクセス活動の検出を分ける。
- 所見件数と分析範囲を合わせて読む。
間違えやすい点
- 通知成功を隔離成功と取り違える。
- パッチ適用だけで認証情報の侵害対応も終えたと考える。
用語解説
- 検出範囲
- 有効なアカウント・地域・資源・機能により分析される範囲。
- 自動対応
- 定めた条件で通知や隔離等の処理を実行する連携。
- サンプル所見
- 通知や運用を試すために生成する例示の検出結果。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。