AWS セキュリティ検知サービスの統合運用

AWS セキュリティ検知サービスの役割

AWS は、セキュリティ脅威の検知・診断・調査を行う複数の専用サービスを提供しています。これらのサービスは相互に連携し、予防から検出、対応、調査までの包括的なセキュリティ運用を実現します。

検知サービスの全体像

各サービスは異なる検知対象と手法を持ち、補完的に機能します。

---

AWS GuardDuty（脅威検知）

GuardDuty は、機械学習とサードパーティの脅威インテリジェンスを使用して、AWS アカウント全体の不審なアクティビティを自動検知します。

主要機能

1. 継続的なログ分析

GuardDuty は以下のデータソースを自動的に分析します：

データソース	検知内容
CloudTrail イベントログ	異常な API 呼び出し、不正なアカウントアクセス、権限昇格の試み
VPC フローログ	異常なネットワークトラフィック、既知の悪意のある IP からのアクセス、ポートスキャン
DNS ログ	マルウェア C&C サーバーへの DNS クエリ、ドメイン生成アルゴリズム（DGA）の検出

2. 機械学習による異常検知

• ベースライン学習
  通常のユーザー・アプリケーションの動作パターンを学習し、逸脱した動作を検知します。

• サードパーティ脅威インテリジェンス
  既知の悪意のある IP アドレス、ドメイン、攻撃パターンのデータベースと照合します。

3. 自動的な有効化と運用

• エージェント不要
  EC2 にエージェントをインストールする必要がなく、有効化するだけで即座に機能します。

• マルチアカウント対応
  AWS Organizations と連携し、組織全体のアカウントを一元的に監視できます。

検出例

脅威タイプ	検出内容	対応例
不正アクセス	通常と異なる地理的位置からのルートアカウントログイン	アカウントを一時停止し、認証情報をローテーション
暗号通貨マイニング	EC2 インスタンスから既知のマイニングプールへの通信	インスタンスを隔離し、マルウェアスキャンを実施
データ漏洩の兆候	大量のデータを外部 IP アドレスに送信	ネットワークを遮断し、データアクセスログを分析
ポートスキャン	EC2 インスタンスが複数のポートをスキャン	セキュリティグループを厳格化し、インスタンスを調査

EventBridge との連携

GuardDuty の検出結果を EventBridge 経由で自動処理できます：

1. Lambda 関数による自動修復
   検出結果をトリガーに、侵害されたインスタンスを自動隔離します。

2. SNS 通知
   セキュリティチームにリアルタイムでアラートを送信します。

3. Systems Manager による自動調査
   Run Command で侵害されたインスタンスのログを自動収集します。

---

Amazon Inspector（脆弱性診断）

Inspector は、EC2 インスタンスと ECR コンテナイメージの脆弱性を継続的に診断する、ホストベースの自動診断サービスです。

主要機能

1. 継続的な自動スキャン

• EC2 インスタンス
  Systems Manager エージェント（SSM Agent）を通じて、OS パッケージとアプリケーション依存関係をスキャンします。

• ECR コンテナイメージ
  イメージがプッシュされるたびに自動的にスキャンし、脆弱性を検出します。

• Lambda 関数
  関数のコードと依存ライブラリの脆弱性をスキャンします。

2. 組み込みルールパッケージ

ルールパッケージ	内容
CVE（Common Vulnerabilities and Exposures）	公開されている既知の脆弱性データベースと照合し、パッチが必要なパッケージを検出
CIS（Center for Internet Security）ベンチマーク	業界標準のセキュリティ設定基準に基づき、OS 設定の不備を検出
ネットワーク到達可能性	意図しないポートが外部に公開されていないか、セキュリティグループの設定を検証
実行時動作分析	インスタンスの実行時動作を監視し、異常なプロセス・ネットワーク接続を検出

3. リスクスコアと優先順位付け

Inspector は検出した脆弱性に対して CVSS（Common Vulnerability Scoring System）スコアを付与し、修正の優先順位を明確にします：

• Critical（9.0-10.0）: 即座に修正が必要
• High（7.0-8.9）: 速やかに修正を計画
• Medium（4.0-6.9）: 次回のメンテナンスウィンドウで修正
• Low（0.1-3.9）: 時間があるときに修正

4. 詳細レポートと修復手順

Inspector は検出した脆弱性に対して：

• CVE ID と詳細説明
  脆弱性の内容、影響範囲、攻撃可能性を記載します。

• 推奨対応手順
  具体的なパッチコマンド（例: yum update openssh）を提示します。

• SNS 通知
  新しい脆弱性が検出されたら、自動的にセキュリティチームに通知します。

使用シーン

• コンプライアンス対応: PCI DSS、HIPAA などの規制要件で脆弱性管理が求められる場合
• CI/CD パイプライン統合: ECR へのイメージプッシュ時に自動スキャンし、脆弱性があればデプロイをブロック
• 定期的なセキュリティ監査: 組織全体の EC2 インスタンスの脆弱性状況を一元的に把握

---

Amazon Macie（機密データ保護）

Macie は、S3 バケット内の機密データを自動的に検出し、データプライバシーを保護するサービスです。

主要機能

1. 機密データの自動検出

Macie は機械学習とパターンマッチングで以下のデータを検出します：

データタイプ	検出パターン	例
個人識別情報（PII）	氏名、住所、電話番号、メールアドレス	山田太郎、tokyo@example.com
クレジットカード番号	Luhn アルゴリズムによる検証	4111-1111-1111-1111
パスポート番号	国ごとのフォーマットパターン	AB1234567
銀行口座番号	国際銀行口座番号（IBAN）パターン	GB29NWBK60161331926819
AWS 認証情報	アクセスキー ID、シークレットアクセスキー	AKIAIOSFODNN7EXAMPLE

2. S3 バケットのセキュリティ評価

• 暗号化の欠如
  暗号化されていないバケットを検出し、KMS による暗号化を推奨します。

• パブリックアクセスの検出
  意図せずインターネットに公開されているバケットを警告します。

• バージョニングの欠如
  誤削除や不正な変更から保護するため、バージョニングの有効化を推奨します。

3. EventBridge との連携

Macie の検出結果を EventBridge 経由で自動処理：

• Lambda 関数による自動修復
  機密データを含むオブジェクトを自動的に暗号化または隔離します。

• SNS 通知
  データ保護責任者にリアルタイムでアラートを送信します。

• Security Hub への統合
  組織全体のデータプライバシー状況を一元的に可視化します。

使用シーン

• GDPR・CCPA 対応: 個人データの所在を特定し、適切に保護
• データ漏洩リスクの低減: 意図せずパブリックに公開された機密データを検出
• クラウド移行時の監査: オンプレミスから S3 に移行したデータに機密情報が含まれていないか確認

---

AWS Security Hub（一元管理）

Security Hub は、複数のセキュリティサービスからのアラートを集約し、組織全体のセキュリティ状態を一元的に管理します。

主要機能

1. セキュリティアラートの集約

Security Hub は以下のサービスからの検出結果を統合します：

• GuardDuty: 脅威検知
• Inspector: 脆弱性診断
• Macie: 機密データ検出
• AWS Config: リソース設定の問題
• IAM Access Analyzer: 過剰な権限の検出
• Firewall Manager: ファイアウォールルールの違反
• AWSパートナー製品: Splunk、Palo Alto Networks、Trend Micro など

2. 統合セキュリティスコア

Security Hub は、アカウント全体のセキュリティ状態を 0〜100 のスコアで可視化します：

• 90-100: 優良（ほとんどの基準を満たしている）
• 70-89: 良好（一部改善の余地あり）
• 50-69: 注意（重要な問題が存在）
• 0-49: 深刻（早急な対応が必要）

3. 自動セキュリティチェック

AWS Foundational Security Best Practices
AWS が推奨するセキュリティ基準に基づき、以下を自動チェックします：

• S3 バケットのパブリックアクセス: 意図しない公開を検出
• EBS ボリュームの暗号化: 暗号化されていないボリュームを警告
• ルートアカウントの MFA: MFA が有効化されていない場合に警告
• セキュリティグループの過剰な許可: 0.0.0.0/0 からのアクセスを検出

コンプライアンス標準
以下の業界標準・規制フレームワークに準拠したチェックも提供：

• CIS AWS Foundations Benchmark
• PCI DSS（Payment Card Industry Data Security Standard）
• HIPAA（Health Insurance Portability and Accountability Act）
• NIST（National Institute of Standards and Technology）

4. EventBridge による自動対応

Security Hub の検出結果を EventBridge 経由で自動処理：

• Lambda 関数による自動修復
  違反を検出したら、自動的に設定を修正します（例: パブリック S3 バケットを非公開に変更）。

• Jira / ServiceNow 連携
  検出結果をチケット管理システムに自動登録し、運用チームに割り当てます。

• Slack 通知
  重大度が High 以上の検出結果をリアルタイムで通知します。

使用シーン

• 組織全体のセキュリティ可視化: 複数アカウント・複数リージョンのセキュリティ状況を一元管理
• コンプライアンスレポート: PCI DSS・HIPAA 監査のためのエビデンス収集
• SIEM 統合: Splunk・Sumo Logic などの SIEM に検出結果を転送

---

Amazon Detective（根本原因分析）

Detective は、セキュリティ検出結果の根本原因を分析し、インシデントの全体像を迅速に把握するためのサービスです。

主要機能

1. グラフ理論による相関分析

Detective は以下のログデータを自動収集し、グラフデータベースで可視化します：

• CloudTrail: API 呼び出しの履歴
• VPC フローログ: ネットワークトラフィックの詳細
• GuardDuty 検出結果: 脅威の種類と対象リソース

これらのデータを時系列・リソース間の関係性で分析し、攻撃の全体像を再構築します。

2. 異常な動作パターンの特定

• 通常時との比較
  過去のベースラインと比較し、異常なアクティビティを強調表示します。

• 関連リソースの追跡
  侵害された IAM ユーザーがどの EC2 インスタンスにアクセスしたか、どの S3 バケットを操作したかを可視化します。

• 影響範囲の特定
  攻撃がどこまで波及したか、どのリソースが影響を受けたかを迅速に把握します。

3. GuardDuty・Security Hub との連携

Detective は GuardDuty と Security Hub の検出結果を起点に、自動的に調査グラフを生成します：

1. GuardDuty が不正アクセスを検出
   例: 通常と異なる IP アドレスからの API 呼び出し

2. Detective が自動的に調査を開始

   • その IP アドレスの過去のアクセス履歴を分析
   • 同じ IAM ユーザーの他のアクティビティを追跡
   • 関連する EC2 インスタンス・S3 バケットを特定

3. 視覚化されたグラフで全体像を把握
   時系列チャート、リソース関係図、地理的分布マップで表示

使用シーン

• インシデントレスポンス: GuardDuty の検出結果を起点に、攻撃の全体像を迅速に把握
• フォレンジック調査: 過去のセキュリティイベントを遡って詳細に分析
• 誤検知の判定: 検出結果が本当に脅威なのか、正常な動作なのかを迅速に判断

---

検知サービスの統合運用

1. 予防的対策

• Inspector で脆弱性を事前に修正
• Macie で機密データの適切な保護を確認
• Security Hub でベストプラクティスへの準拠を継続的にチェック

2. リアルタイム検知

• GuardDuty で脅威を即座に検出
• EventBridge 経由で自動修復または通知

3. インシデント調査

• Detective で根本原因を分析
• Security Hub で組織全体の影響範囲を把握

4. 継続的改善

• Security Hub のセキュリティスコアを定期的に確認
• Inspector の脆弱性レポートをもとにパッチ適用計画を策定
• GuardDuty の検出パターンを学習し、誤検知を削減

---

まとめ

AWS のセキュリティ検知サービスは、それぞれ異なる役割を持ちながら、統合的に機能します。

GuardDuty は機械学習で脅威を自動検知し、Inspector は脆弱性を継続的に診断します。Macie は S3 内の機密データを保護し、Security Hub はセキュリティアラートを一元管理してスコアで可視化します。Detective はインシデントの根本原因をグラフ理論で分析し、迅速な対応を支援します。

これらのサービスを EventBridge・Lambda・SNS と連携させることで、検知から対応までを自動化し、セキュリティ運用の効率を大幅に向上させることができます。