Amazon GuardDuty で脅威検出を有効化し検出結果を確認する

前提条件

1. リージョン: ap-northeast-1（東京）
2. IAM ユーザーまたはロールに GuardDuty の操作権限があること

作成するリソース一覧

ステップ1: GuardDuty の有効化

AWS マネジメントコンソールにログインし、リージョンが ap-northeast-1（東京）であることを確認します。

上部の検索バーに GuardDuty と入力し、表示された「GuardDuty」を選択します。

GuardDuty の開始画面が表示されます。右上の「今すぐ始める」をクリックします。

「GuardDuty にようこそ」画面に切り替わり、GuardDuty が使うサービスのアクセス許可と、有効になる保護プランの説明が表示されます。内容を確認し、「GuardDuty を有効にする」をクリックします。

有効化が完了すると「要約」画面に切り替わり、GuardDuty が有効になったことを示すメッセージが表示されます。この時点では、まだ検出結果はありません。

ステップ2: 有効化されたことを確認する

左側ナビゲーションの「保護プラン」を選択します。

一覧の先頭にある「Foundational GuardDuty」が「有効」になっていることを確認します。CloudTrail 管理イベント、VPC フローログ、DNS クエリログの分析はこの基本の検出に含まれており、ログの出力先や転送を自分で設定する必要はありません。

ステップ3: 保護プランの確認

同じ「保護プラン」画面を下にスクロールし、各保護プランの状態を確認します。

初めて有効化した直後は、S3 Protection、EKS 監査ログ、RDS ログインアクティビティ、Lambda ネットワークアクティビティなどが「有効」になっており、Runtime Monitoring などは「無効」のままです。多くの保護プランには 30 日間の無料トライアルの表示が付いています。

保護プランの有効・無効は、画面右上の「Configure all enablements」から切り替えられます。今回はデフォルトのままにします。

ステップ4: サンプル検出結果の生成

GuardDuty は実際の脅威がなければ検出結果を生成しません。動作確認のために、サンプル検出結果を生成します。

左側ナビゲーションの「設定」を選択します。

画面の中ほどにある「検出結果のサンプル」セクションで、「検出結果サンプルの生成」をクリックします。

確認ダイアログが表示されるので、「Generate sample findings」をクリックします。検出結果タイプごとにサンプルが 1 件以上作られます。今回は 20 秒ほどで生成されました。

ステップ5: 検出結果の確認

左側ナビゲーションの「検出結果」を選択します。

サンプル検出結果の一覧が表示されます。サンプルのタイトルには「[例]」が付いています。一覧では、各検出結果について以下の情報を確認できます。

1. タイトル
2. 重要度（高・中・低などのバッジ）
3. 検出結果タイプ
4. 影響を受けるリソース
5. 最終アクセス日時

ステップ6: 検出結果の詳細確認

検出結果一覧から任意の検出結果のタイトルをクリックすると、画面の右側に詳細パネルが開きます。

詳細パネルには以下の情報が表示されます。

1. パネル上部: タイトル、重要度、説明
2. 概要: 検出結果タイプ、重要度、リージョン、作成日時など
3. 影響を受けるリソース: リソースの種類、ID、タグなどの情報

その下に、検出結果の種類に応じたリソースやネットワークの詳細が続きます（一部の見出しは英語で表示されます）。

ステップ7: 検出結果のアーカイブ

対処済みの検出結果はアーカイブして整理できます。

検出結果一覧で対象の検出結果のチェックボックスを選択すると、「アクション」が押せるようになります。「アクション」→「アーカイブ」をクリックします。

アーカイブされた検出結果は、一覧上部の「ステータス」で「最近」から「アーカイブ済み」に切り替えると確認できます。