Amazon GuardDutyの解説（AWS認定クラウドプラクティショナーシラバス用語）

Amazon GuardDutyとは

Amazon GuardDuty（アマゾン ガードデューティ）は、AWS環境およびAWSアカウント全体に対する悪意のあるアクティビティや不正な動作を継続的にモニタリングし、脅威を検出するフルマネージド型のインテリジェントな脅威検出サービスです。AWS上のログデータ（AWS CloudTrailのイベントログ、Amazon VPCのフローログ、DNSログなど）を機械学習や異常検出アルゴリズムを用いて分析し、セキュリティの脅威を自動的に特定します。ユーザーは複雑なセキュリティソフトウェアをインストールしたり、インフラストラクチャを管理したりすることなく、AWSマネジメントコンソールからワンクリックで有効化するだけで、すぐに高度なセキュリティ監視を開始できるのが最大の魅力です。現代のクラウド環境では、外部からの攻撃だけでなく、内部のアカウント侵害や意図しない設定ミスが重大な情報漏洩につながる可能性があります。GuardDutyは、そのような潜在的なリスクをいち早く察知し、管理者にアラートを通知することで、迅速な対応を可能にし、企業のクラウド資産を強力に保護する重要な役割を担っています。

具体例

Amazon GuardDutyの有用性は、実際のセキュリティインシデントの兆候を検知するシーンを想像するとわかりやすいでしょう。例えば、以下のようなケースでGuardDutyは脅威を検出します。

• 普段とは異なる場所からのAPI呼び出し： 普段は日本国内からのみアクセスされているAWSアカウントに対して、突然海外の未知のIPアドレスから大量のAWSリソース作成リクエスト（API呼び出し）があった場合、GuardDutyはこれをアカウント侵害の兆候として検知します。
• 悪意のあるIPアドレスとの通信： EC2インスタンスが、既知のマルウェアのコマンド＆コントロール（C&C）サーバーや、暗号資産（仮想通貨）のマイニングプールと通信を行っていることをVPCフローログから検出した場合、インスタンスがマルウェアに感染している可能性が高いと判断し、アラートを発報します。
• CloudTrailのログ無効化： 攻撃者が自身の痕跡を消すために、証拠となるCloudTrailのロギングを無効化しようとした場合、その操作自体を不審なアクティビティとして検知します。

このように、GuardDutyは「いつもと違う」「明らかにおかしい」という動きを、膨大なログの中から自動的に見つけ出してくれます。

もう少し詳しく

Amazon GuardDutyの背後では、AWSが独自に収集した脅威インテリジェンス（既知の悪意のあるIPアドレスやドメインのリスト）に加え、CrowdStrikeやProofpointなどのサードパーティのセキュリティパートナーから提供される脅威情報が活用されています。これにより、最新の攻撃手法やトレンドに対応した高精度な検知が可能です。さらに、機械学習モデルを用いて、各AWSアカウントの通常のベースラインとなる動作（いつ、誰が、どこから、どのような操作を行っているか）を学習します。このベースラインから大きく逸脱した異常なパターンを識別することで、未知の脅威やゼロデイ攻撃の兆候をも捉えることができます。

また、GuardDutyはAWS環境に負荷をかけることなく動作する点も特徴です。エージェント（監視用のソフトウェア）をEC2インスタンスにインストールする必要はなく、AWSのバックエンドで独立してログデータの収集と分析が行われます。そのため、アプリケーションのパフォーマンスに影響を与えることなく、シームレスにセキュリティ監視を導入・運用することができます。検出された脅威は、「低」「中」「高」の3段階の重要度レベルに分類され、GuardDutyのコンソール上に詳細な情報（影響を受けたリソース、攻撃元のIPアドレス、推奨される修復手順など）とともに表示されます。さらに、Amazon EventBridge（旧CloudWatch Events）と連携することで、AWS Lambda関数をトリガーして自動的な修復アクション（例：感染したインスタンスのネットワークからの隔離、セキュリティグループの変更など）を実行させることも可能です。

試験でのポイント

AWS認定クラウドプラクティショナー（CLF-C02）試験において、Amazon GuardDutyは「脅威検出」「インテリジェントな監視」「機械学習を利用したセキュリティ」といったキーワードと結びつけて出題されることが多いです。特に重要なポイントは以下の通りです。

• 分析対象のログ： GuardDutyが分析する主要なデータソースは、「AWS CloudTrailのイベントログ」「Amazon VPCのフローログ」「DNSログ」の3つであることを覚えておきましょう。（試験では「GuardDutyは何のログを分析して脅威を検出するか？」と問われることがあります）。
• ワンクリックで有効化： エージェントのインストールや複雑な設定が不要で、コンソールから簡単に有効化できるフルマネージドサービスである点が問われます。
• 他のセキュリティサービスとの違い： 「Amazon Macie」は機密データ（個人情報など）の発見と保護、「AWS WAF」はWebアプリケーションへの攻撃防御、「AWS Shield」はDDoS攻撃からの保護といったように、各セキュリティサービスの役割を明確に区別できるようにしておきましょう。GuardDutyは「アカウントとネットワークの全体的な脅威検出」が役割です。

関連する用語

GuardDutyが分析するログの生成元となるAWS CloudTrailは、APIコールの履歴を記録する重要なサービスです。また、検出した脅威に対する自動対応を実装する際には、Amazon EventBridgeを用いてAWS Lambdaを呼び出すアーキテクチャが一般的です。さらに、複数のAWSアカウントの一元的なセキュリティ管理にはAWS Security Hubが利用され、GuardDuty의 検出結果もSecurity Hubに統合して一元管理することが推奨されています。