Amazon GuardDuty

(1)

Amazon Guard Duty ユーザーガイド

(2)

Amazon GuardDuty: Amazon Guard Duty ユーザーガイド

Copyright © 2018 Amazon Web Services, Inc. and/or its affiliates. All rights reserved.

Amazon's trademarks and trade dress may not be used in connection with any product or service that is not Amazon's, in any manner that is likely to cause confusion among customers, or in any manner that disparages or discredits Amazon. All other trademarks not owned by Amazon are the property of their respective owners, who may or may not be affiliated with, connected to, or sponsored by Amazon.

(3)

Amazon GuardDuty とは

Amazon GuardDuty は、次のデータソースを分析して処理する継続的なセキュリティモニタリングサービスです: VPC フローログ、AWS CloudTrail イベントログ、DNS ログ。悪意のある IP やドメインのリストなどの脅威インテリジェンスフィードおよび機械学習を使用して、AWS 環境内の予期しない潜在的に未許可なアクティビティや悪意のあるアクティビティを識別します。このアクティビティには、権限昇格や、

公開されている認証情報の使用、悪意のある IP や URL、ドメインとの通信などの問題も含まれます。たとえば、GuardDuty はマルウェアやマイニングビットコインに使われている侵害された EC2 インスタンスを検出できます。また、AWS アカウントのアクセス動作をモニタリングして、未許可のインフラストラクチャのデプロイ (これまで使用されたことのないリージョンへのインスタンスのデプロイなど) や、異常な API コール (パスワードポリシーがパスワードの強度が下がるものに変更されるなど) など、侵害の兆候を探します。

GuardDuty では、コンソールまたは Amazon CloudWatch イベントで表示することができるセキュリティの結果を生成して、環境のステータスを通知しています。

GuardDuty の料金表

GuardDuty の料金の詳細については、「Amazon GuardDuty 料金表」を参照してください。

GuardDuty へのアクセス

次のいずれかの方法で GuardDuty を使用できます。

GuardDuty コンソール

https://console.aws.amazon.com/guardduty

コンソールは、GuardDuty にアクセスして使用するためのブラウザベースのインターフェイスです。

AWS SDK

AWS には、さまざまなプログラミング言語およびプラットフォーム

(Java、Python、Ruby、.NET、iOS、Android など) のライブラリとサンプルコードで構成されたソフトウェア開発キット (SDK) が用意されています。SDK は、GuardDuty へのアクセス権限をプログラムによって作成するのに役立ちます。AWS SDK のダウンロードやインストールなどの詳細については、「アマゾンウェブサービスのツール」を参照してください。

GuardDuty HTTPS API

サービスに HTTPS リクエストを直接発行できる GuardDuty HTTPS API を使用して、プログラムによりとにアクセスできます。詳細については、『Amazon GuardDuty API リファレンス (p. 67)』を参照してください。

(11)

AWS CloudTrail イベントログ

Amazon GuardDuty でデータソースを使用する方法

AWS 環境で許可されず、予期されないアクティビティを検出するために、GuardDuty は AWS CloudTrail イベントログ、VPC フローログおよび DNS ログを分析して処理します。このようなデータソースからのログは Amazon S3 バケットに保存されます。GuardDuty は、HTTPS プロトコルを使用してこれらにアクセスします。これらのデータソースから GuardDuty への通信中、ログデータはすべて暗号化されます。GuardDuty はこれらのログのさまざまなフィールドを抽出して、プロファイリングと異常の検出を行った後、ログを破棄します。

次のセクションでは、GuardDuty でサポートされている各データソースを使用する方法の詳細を説明します。

トピック

• AWS CloudTrail イベントログ (p. 2)

• VPC フローログ (p. 3)

• DNS ログ (p. 3)

AWS CloudTrail イベントログ

AWS CloudTrail は、アカウントの AWS API コールの履歴を提供します。履歴には、AWS マネジメントコンソール、AWS SDK、コマンドラインツール、高レベルの AWS サービスを使用した API コールが含まれます。CloudTrail では、をサポートするサービス用に API を呼び出したユーザーとアカウント、呼び出し元のソース IP アドレス、および呼び出しの発生日時を特定することもできます。詳細については、

「AWS CloudTrail とは」を参照してください。

管理イベントあるいはデータイベント (またはその両方) のログを記録するように CloudTrail 証跡を設定できます。管理イベントでは、AWS アカウントのリソースで実行される管理オペレーションについての洞察が得られます。たとえば、セキュリティの設定 (IAM AttachRolePolicy API オペレーション)、デバイスの登録 (Amazon EC2 CreateDefaultVpc API オペレーション)、ルーティングデータのルールの設定 (Amazon EC2 CreateSubnet API オペレーション)、ログ記録の設定 (AWS CloudTrail CreateTrail API オペレーション) などです。データイベントでは、リソース上またはリソース内で実行されたリソースオペレーションについての洞察が得られます。たとえば、Amazon S3 のオブジェクトレベルの API アクティビティ (GetObject、DeleteObject、および PutObject の API オペレーション)、AWS Lambda 関数の実行アクティビティ (呼び出し API) などです。詳細については、「証跡のデータイベントと管理イベントのログ記録」を参照してください。

現在のところ、GuardDuty は CloudTrail 管理イベントのみを分析します。CloudTrail で設定したログデータイベントがある場合、データに基づいた分析と CloudTrail 自体が配信するログでは違いが生じます。

GuardDuty で CloudTrail をデータソースとして使用する場合のもう一つの重要な点は、CloudTrail のグローバルイベントの取扱いと処理です。ほとんどのサービスの場合、イベントはアクションが発生したリージョンで記録されます。AWS IAM、AWS STS、Amazon CloudFront や Route 53 などのグローバルサービスの場合、イベントはグローバルサービスが含まれた任意の証跡に配信され、発生した場所は米国東部 (バージニア北部) リージョンであるとログに記録されます。詳細については、「グローバルサービスイベントについて」を参照してください。

GuardDuty は、CloudTrail がすべてのリージョンに送信するグローバルイベントを含む、リージョンに届くすべてのイベントを処理します。これにより、GuardDuty は各リージョンでユーザーとロールプロファイルを維持し、悪意のある認証情報をリージョン間で確実に検出できます。

(12)

VPC フローログ

Important

GuardDuty は、サポートされているすべての AWS リージョンで有効にすることが強く推奨されています。このように設定することで、お客様が能動的に使用していないリージョンでも、許可されていないアクティビティや異常なアクティビティに関する検索結果を GuardDuty で生成できます。また、GuardDuty では、グローバルな AWS のサービスについても AWS CloudTrail イベントをモニタリングできます。

GuardDuty がサポートされているすべてのリージョンで有効になっていない場合、グローバルサービスに関連するアクティビティを検出する機能は低下します。

VPC フローログ

VPC フローログは、Amazon EC2 のネットワークインターフェイスとの間で行き来する IP トラフィックに関する情報をキャプチャします。詳細については、「VPC フローログ」を参照してください。

Important

GuardDuty を有効にすると、ただちに VPC フローログのデータの分析が開始されます。フローログの単独ストリームおよび重複ストリームの VPC フローログ機能から直接 VPC フローログイベントを使用します。このプロセスによる既存のフローログ設定への影響はありません。

GuardDuty はフローログを管理しません。また、アカウントによるフローログへのアクセスを可能にすることはありません。フローログのアクセスと保持期間を管理するには、VPC フローログ機能を設定する必要があります。

フローログへの GuardDuty アクセスには追加料金はかかりません。ただし、保持するフローログを有効にするか、アカウントで使用した場合は、既存の料金表が適用されます。詳細については、「フローログの使用」を参照してください。

DNS ログ

EC2 インスタンスで AWS DNS リゾルバーを使用している場合 (デフォルト設定)、GuardDuty は、内部の AWS DNS リゾルバーを介して、リクエストと応答の DNS ログにアクセスして処理することができます。

サードパーティの DNS リゾルバー (例: OpenDNS または GoogleDNS) を使用している場合、または独自の DNS リゾルバーを設定している場合は、GuardDuty でこのデータソースからデータにアクセスしたり処理したりすることはできません。

(13)

Amazon GuardDuty の用語と概念

Amazon GuardDuty の使用を開始するにあたり、その主要コンセプトを確認しておくとメリットがあります。

アカウント

リソースを含む標準のアマゾンウェブサービス () アカウント。アカウントを使用して AWS にサインインし、GuardDuty を有効にできます。

他のアカウントを招待して、GuardDuty を有効にし、のアカウントに関連付けることもできます。

招待が受け入れられると、アカウントは GuardDuty のマスターアカウントとして指定され、これに追加されたアカウントはメンバーアカウントになります。これにより、マスターアカウントの代わりに GuardDuty の結果を表示および管理することができます。

マスターアカウントのユーザーは、自分のアカウントおよびすべてのメンバーアカウントの

GuardDuty を設定できるだけでなく、GuardDuty の結果を表示および管理できます。GuardDuty に最大 1000 のメンバーアカウントを登録できます。

メンバーアカウントのユーザーは、自分のアカウントの GuardDuty を設定できるだけでな

く、GuardDuty の結果を表示および管理できます (GuardDuty 管理コンソールまたは GuardDuty API を使用)。メンバーアカウントのユーザーは、他のメンバーアカウントの結果を表示または管理することはできません。

AWS アカウントを GuardDuty のマスターアカウントとメンバーアカウントに同時に設定することはできません。AWS アカウントで承諾できるメンバーシップの招待は 1 つのみです。メンバーシップの招待の承諾はオプションです。

詳細については、「Amazon GuardDuty の AWS アカウントの管理 (p. 53)」を参照してください。

自動アーカイブ

自動アーカイブルールを使用すると、特定の属性の組み合わせを作成して結果数を抑えることができます。たとえば、特定の VPC のインスタンス、特定の AMI を実行するインスタンス、特定の EC2 タグがあるインスタンスなどのみで、を自動アーカイブするために、フィルタを使ってルールを定義できます。このルールにより、ポートスキャンの検索結果は、条件を満たすインスタンスから自動的にアーカイブされます。ただし、暗号化通貨のマイニングなど、他の悪意のある行為を行っているインスタンスが GuardDuty によって検出された場合には、アラートが出されます。

GuardDuty マスターアカウントで定義された自動アーカイブルールは、GuardDuty メンバーアカウントに適用されます。GuardDuty メンバーアカウントは自動アーカイブルールを変更できません。

自動アーカイブルールでは、GuardDuty は依然としてすべての結果を生成します。自動アーカイブルールは、すべてのアクティビティの完全で不変な履歴を維持しながら、結果の数を抑えます。

データソース

データのセットのオリジンまたは場所です。AWS 環境で許可されず、予期されないアクティビティを検出するために、GuardDuty は AWS CloudTrail イベントログ、VPC フローログおよび DNS ログを分析して処理します。詳細については、「Amazon GuardDuty でデータソースを使用する方法 (p. 2)」を参照してください。

結果

GuardDuty によって発見された潜在的なセキュリティの問題。詳細については、「Amazon GuardDutyの結果 (p. 23)」を参照してください。

(14)

結果は、セキュリティ問題に関する詳細な説明と合わせて、GuardDuty コンソールに表示されます。GetFindings (p. 123) および ListFindings (p. 167) HTTPS API オペレーションを呼び出して生成された結果を取得することもできます。

イベントを使用して、の結果を表示することもできます。GuardDuty は、結果を HTTPS プロトコル経由で Amazon CloudWatch に送信します。詳細については、「を使用した結果のモニタリング (p. 64)」を参照してください。

信頼できる IP リスト

高い安全性で AWS 環境と通信することを目的としてホワイトリストに登録されている IP アドレスのリスト。GuardDuty では、信頼されている IP リストに基づく結果は生成されません。詳細については、「信頼できる IP リストと脅威リストの使用 (p. 49)」を参照してください。

脅威リスト

既知の悪意のある IP アドレスのリスト。GuardDuty は、脅威リストに基づいて結果を生成します。詳細については、「信頼できる IP リストと脅威リストの使用 (p. 49)」を参照してください。

(15)

Amazon GuardDuty サービスの制限

各リージョンの AWS アカウントごとの Amazon GuardDuty の制限は以下のとおりです。

リソースデフォルトの制限コメント

ディテクター 1 各リージョンの AWS ア

カウントごとに作成およびアクティブ化できるディテクターリソースの最大数。

これはハード制限です。ディテクターの制限の引き上げをリクエストすることはできません。

GuardDuty フィルタ 100 各リージョンの AWS

アカウントごとに保存できるフィルタの最大数。

これはハード制限です。フィルターの制限の引き上げをリクエストすることはできません。

信頼できる IP セット 1 各リージョンの AWS ア

カウントごとにアップロードおよびアクティブ化できる信頼できる IP セットの最大数。

これはハード制限です。信頼できる IP セットの制限の引き上げをリクエストすることはできません。

脅威インテリジェンスセット 6 各リージョンの AWS ア

カウントごとにアップロードおよびアクティブ化できる脅威インテリジェンスセットの最大数。

これはハード制限です。脅威インテリジェンスセットの制限の引き上げをリクエストすることはできません。

(16)

リソースデフォルトの制限コメント

GuardDuty メンバーアカウント 1,000 各リージョンの AWS ア

カウント ( マスターアカウント) ごとに追加できるメンバーアカウントの最大数。

これはハード制限です。メンバーアカウントの制限の引き上げをリクエストすることはできません。

GuardDuty 結果の保持時間 90 日間 GuardDuty で生成さ

れた結果の最大保存日数。

これはハード制限です。結果の保持日数の制限の引き上げをリクエストすることはできません。

(17)

Amazon GuardDuty でサポートされているリージョン

現在、Amazon GuardDuty は次の AWS リージョンでサポートされています。

• アジアパシフィック (ムンバイ)

• アジアパシフィック (ソウル)

• アジアパシフィック (シンガポール)

• アジアパシフィック (シドニー)

• アジアパシフィック (東京)

• カナダ (中部)

• 欧州 (フランクフルト)

• 欧州 (アイルランド)

• 欧州 (ロンドン)

• EU (パリ)

• 米国東部（バージニア北部）

• 米国東部 (オハイオ)

• 米国西部 (北カリフォルニア)

• 米国西部 (オレゴン)

• 南米 (サンパウロ)

• AWS GovCloud (米国)

Important

次のリストは、他のサポートされている AWS リージョンと比較して AWS GovCloud (米国) リージョンで GuardDuty を使用する場合の違いを示しています。詳細については、AWS Gov Cloud (米国) ユーザーガイドの「Amazon GuardDuty トピック」を参照してください。

• でを使用してリソースを設定することはサポートされていません。

• サポートがないため、の StackSet 機能を使用して、同時に複数のアカウントでを有効にすることはできません。この制限を回避するには、「Amazon GuardDuty の AWS アカウントの管理 (p. 53)」で説明されている Python スクリプトを使用します。

• リージョン間のデータ転送は、サポートされていません。

• 以下の DNS 関連の結果タイプは、AWS GovCloud (US) では生成されません。

• Trojan:EC2/BlackholeTraffic!DNS

• Trojan:EC2/DriveBySourceTraffic!DNS

• Trojan:EC2/DropPoint!DNS

• Backdoor:EC2/C&CActivity.B!DNS

• CryptoCurrency:EC2/BitcoinTool.B!DNS

• Trojan:EC2/DGADomainRequest.B

• Trojan:EC2/DNSDataExfiltration

• Trojan:EC2/DGADomainRequest.C!DNS

(18)

Important

GuardDuty は、サポートされているすべての AWS リージョンで有効にすることが強く推奨されています。このように設定することで、お客様が能動的に使用していないリージョンでも、許可されていないアクティビティや異常なアクティビティに関する検索結果を GuardDuty で生成できます。また、GuardDuty では、IAM などのグローバルな AWS のサービスについても AWS CloudTrail イベントをモニタリングできます。

(19)

Amazon GuardDutyの有効化

Amazon GuardDuty をセットアップする

Amazon GuardDuty を有効にするには、AWS アカウントが必要です。アカウントをお持ちでない場合は、

次に説明する手順にしたがってアカウントを作成してください。

AWS にサインアップするには

1. https://aws.amazon.com/ を開き、[AWS アカウントの作成] を選択します。

Note

AWS アカウントのルートユーザー認証情報を使用して、すでに AWS マネジメントコンソールにサインインしている場合は、[Sign in to a different account (別のアカウントにサインインする)] を選択します。IAM 認証情報を使用して、すでにコンソールにサインインしている場合は、[Sign-in using root account credentials (ルートアカウントの資格情報を使ってサインイン)] を選択します。[新しい AWS アカウントの作成] を選択します。

2. オンラインの手順に従います。

サインアップ手順の一環として、通話呼び出しを受け取り、電話のキーパッドを用いて確認コードを入力することが求められます。

トピック

• Amazon GuardDutyの有効化 (p. 10)

• Amazon GuardDuty 無料トライアル (p. 12)

• Amazon GuardDuty のサービスにリンクされたロールの使用 (p. 12)

Amazon GuardDutyの有効化

GuardDuty を使用するには、最初に有効にする必要があります。GuardDuty を有効にする手順は以下のとおりです。

1. GuardDuty を有効にするために使用する IAM アイデンティティ (ユーザー、ロール、グループ) には、必須のアクセス許可が必要です。GuardDuty を有効にするために必要なアクセス許可を付与するには、次のポリシーを IAM ユーザー、グループ、またはロールにアタッチします。

Note

以下の例のサンプルのアカウント ID を実際の AWS アカウント ID に置き換えます。

{ "Version": "2012-10-17", "Statement": [

{

"Effect": "Allow",

(20)

Amazon GuardDutyの有効化

"guardduty:*"

],

"Resource": "*"

}, {

"Effect": "Allow", "Action": [

"iam:CreateServiceLinkedRole"

],

"Resource": "arn:aws:iam::123456789123:role/aws-service-role/

guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty", "Condition": {

"StringLike": {

"iam:AWSServiceName": "guardduty.amazonaws.com"

} } } ] }

2. ステップ 1 の IAM アイデンティティの認証情報を使用して、GuardDuty コンソールにサインインします。最初に GuardDuty コンソールを開いたときに、[Get Started]、[Enable GuardDuty] の順に選択します。

GuardDuty の有効化については、以下の点に注意してください。

• GuardDuty には、サービスにリンクされたロールとして AWSServiceRoleForAmazonGuardDuty が割り当てられます。このサービスにリンクされたロールには、AWS CloudTrail、VPC

フローログ、および DNS ログのイベントを GuardDuty で直接使用および分析し、セキュリティの結果を生成するために必要なアクセス権限と信頼ポリシーが含まれていま

す。AWSServiceRoleForAmazonGuardDuty の詳細を表示するには、[Welcome to GuardDuty]

ページの [View service role permissions] を選択してください。詳細については、「サービスにリンクされたロールによる GuardDuty へのアクセス許可の委任 (p. 16)」を参照してください。サービスにリンクされたロールの詳細については、「サービスにリンクされたロールの使用」を参照してください。

• GuardDuty を有効にすると、直ちに AWS CloudTrail、VPC フローログ、および DNS ログからの独立したデータのストリームのプルおよび分析を開始し、セキュリティ結果を生成します。GuardDuty はこのデータを調査のためにのみ使用するため、GuardDuty を使用して AWS CloudTrail、VPC フローログ、および DNS ログを管理したり、イベントやログをお客様が利用することはできません。これらのサービスを GuardDuty に関係なく有効にしている場合は、それぞれのコンソールまたは API を使用して、引き続きこれらのデータソースの設定を構成するオプションを使用します。GuardDuty が統合するデータソースに関する詳細については、「AWS CloudTrail とは」および「フローログを使用する」を参照してください。

Important

GuardDuty は、サポートされているすべての AWS リージョンで有効にすることが強く推奨されています。このように設定することで、お客様が能動的に使用していないリージョンでも、許可されていないアクティビティや異常なアクティビティに関する検索結果を GuardDuty で生成できます。また、GuardDuty では、IAM などのグローバルな AWS のサービスについても AWS CloudTrail イベントをモニタリングできます。

GuardDuty は無料またはわずかな追加料金で、アクティブなワークロードをデプロイしていないリージョンをモニタリングできます。

• GuardDuty はいつでも無効化して、AWS CloudTrail イベント、VPC フローログ、DNS ログの処理や分析を停止できます。詳細については、「Amazon GuardDuty の停止または無効化 (p. 61)」を参照してください。

(21)

Amazon GuardDuty 無料トライアル

初めて GuardDuty を有効にすると、AWS アカウントは 30 日 GuardDuty 無料トライアルで自動的に登録されます。GuardDuty の無料トライアルの詳細については、GuardDuty コンソールの [Free trial] ページを参照 (ナビゲーションペインの [Free trial]/[Details] を選択) してください。詳細には、無料トライアルのタイムライン上における現在の位置と、無料トライアル終了後の GuardDuty の日次見積コストが表示されます。この見積りは、無料トライアル期間中に GuardDuty で毎日処理および分析したログに基づきます。

Important

この推定日次コストには、を有効化したすべての AWS アカウントおよびリージョンにおけるの使用に対する課金は表示されません。推定日次コストは、現在サインインしているアカウントおよびリージョンにおけるの使用状況のみに基づきます。

無料トライアルの終了まで、GuardDuty の使用に対して課金されることはありません。GuardDuty の料金の詳細については、「Amazon GuardDuty 料金表」を参照してください。

Amazon GuardDuty のサービスにリンクされたロールの使用

Amazon GuardDuty は、AWS Identity and Access Management (IAM)サービスにリンクされたロール) を使用します。サービスにリンクされたロールは、に直接リンクされた一意のタイプのロールです IAMGuardDuty。サービスにリンクされたロールは、GuardDuty による事前定義済みのロールであり、

ユーザーに代わって GuardDuty から AWS の他のサービスを呼び出すために必要なすべてのアクセス権限を備えています。

サービスにリンクされたロールを使用すると、必要なアクセス許可を手動で追加する必要がなくなるため、GuardDuty の設定が簡単になります。GuardDuty はこのサービスにリンクされたロールのアクセス許可を定義し、特にアクセス許可が定義されている場合を除き、GuardDuty のみがそのロールを引き受けます。定義されるアクセス権限には、信頼ポリシーやアクセス許可ポリシーなどがあり、そのアクセス許可ポリシーを他の IAM エンティティにアタッチすることはできません。

GuardDuty は、GuardDuty が利用できるすべてのリージョンで、サービスにリンクされたロールの使用をサポートします。詳細については、「Amazon GuardDuty でサポートされているリージョン (p. 8)」を参照してください。

GuardDuty サービスにリンクされたロールの削除は、それが有効になっているすべてのリージョンで GuardDuty を無効にした後でのみ、行うことができます。アクセスに必要なアクセス許可を誤って削除してしまうことがなくなり、GuardDuty リソースは保護されます。

サービスにリンクされたロールをサポートする他のサービスについては、IAM ユーザーガイドの「IAM と連携する AWS サービス」で、「サービスにリンクされたロール」列が「はい」になっているサービスを確認してください。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、[はい] リンクを選択します。

GuardDuty のサービスにリンクされたロールのアクセス許可

GuardDuty では、サービスにリンクされたロールとして AWSServiceRoleForAmazonGuardDuty を使用します。allows Amazon GuardDuty to consume and analyze events directly from AWS CloudTrail, VPC Flow Logs, and DNS logs and generate security findings。

(22)

GuardDuty のサービスにリンクされたロールのアクセス許可

AWSServiceRoleForAmazonGuardDuty サービスにリンクされたロールは、ロールを引き受ける上で次のサービスを信頼します。

• guardduty.amazonaws.com

ロールのアクセス権限ポリシーは、指定したリソースに対して以下のアクションを実行することを GuardDuty に許可します。

• アクション: ec2:DescribeInstances

• アクション: ec2:DescribeImages

• リソース: arn:aws:iam::*:role/aws-service-role/guardduty.amazonaws.com/

AWSServiceRoleForAmazonGuardDuty

IAM エンティティ (ユーザー、グループ、ロールなど) がサービスにリンクされたロールを作成、編集、削除できるようにするには、アクセス権限を設定する必要がありま

す。AWSServiceRoleForAmazonGuardDuty サービスにリンクされたロールを適切に作成するには、GuardDuty を使用する IAM アイデンティティに、必要なアクセス権限が付与されている必要があります。必要なアクセス許可を付与するには、次のポリシーをこの IAM ユーザー、グループ、またはロールにアタッチします。

Note

{

"guardduty:*"

],

"Resource": "*"

}, {

],

"StringLike": {

} } }, {

"iam:PutRolePolicy", "iam:DeleteRolePolicy"

],

guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty"

} ] }

(23)

のサービスにリンクされたロールの作成GuardDuty

GuardDuty を初めて有効にするか、以前に有効にしていなかったサポート対象リージョンで GuardDuty を有効にすると、AWSServiceRoleForAmazonGuardDuty サービスにリンクされたロールが自動的に作成されます。AWSServiceRoleForAmazonGuardDuty サービスにリンクされたロールは、IAM コンソール、IAM CLI、または IAM API を使用して手動で作成することもできます。

Important

マスター GuardDuty アカウント用に作成されたサービスにリンクされたロールは、メンバーの GuardDuty アカウントには適用されません。

手動によるロールの作成の詳細については、IAM ユーザーガイドの「サービスにリンクされたロールを作成する」を参照してください。

GuardDuty のサービスにリンクされたロールの編集

GuardDuty では、AWSServiceRoleForAmazonGuardDuty サービスにリンクされたロールを編集することはできません。サービスにリンクされたロールを作成すると、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用したロールの説明の編集はできます。詳細については、IAM ユーザーガイドの「サービスにリンクされたロールの編集」

を参照してください。

GuardDuty のサービスにリンクされたロールの削除

サービスにリンクされたロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。そうすることで、使用していないエンティティがアクティブにモニタリングされたり、メンテナンスされたりすることがなくなります。

Important

AWSServiceRoleForAmazonGuardDuty を削除するためには、有効になっているすべてのリージョンで最初に GuardDuty を無効にする必要があります。

サービスにリンクされたロールを削除しようとしたときに、GuardDuty サービスが無効になっていない場合、削除は失敗します。詳細については、「Amazon GuardDuty の停止または無効化 (p. 61)」を参照してください。

GuardDuty を無効にすると、AWSServiceRoleForAmazonGuardDuty は自動的に削除されません。後で GuardDuty を再度有効にする場合、既存の AWSServiceRoleForAmazonGuardDuty を使用して起動されます。

IAM を使用して、サービスにリンクされたロールを手動で削除するには

IAM コンソール、IAM CLI、または IAM API を使用して、AWSServiceRoleForAmazonGuardDuty サービスにリンクされたロールを削除します。詳細については、『サービスにリンクされたロールの削除」を参照してくださいIAM ユーザーガイド。

(24)

GuardDuty の有効化に必要なアクセス許可

Amazon GuardDuty へのアクセスの管理

トピック

• GuardDuty の有効化に必要なアクセス許可 (p. 15)

• サービスにリンクされたロールによる GuardDuty へのアクセス許可の委任 (p. 16)

• IAM ポリシーを使用して GuardDuty へのアクセス権を IAM アイデンティティに委任する (p. 17)

GuardDuty の有効化に必要なアクセス許可

このセクションでは、コンソールまたはプログラム ( API または AWS CLI のコマンド) からを最初に有効にするために必要な IAM アイデンティティ (ユーザー、グループ、ロール) 別のアクセス許可について説明します。

GuardDuty を有効にするために必要なアクセス許可を付与するには、次のポリシーを IAM ユーザー、グループ、またはロールにアタッチします。

Note

{

"guardduty:*"

],

"Resource": "*"

}, {

],

"StringLike": {

} } }, {

],

(25)

サービスにリンクされたロールによる GuardDuty へのアクセス許可の委任

} ] }

サービスにリンクされたロールによる GuardDuty へのアクセス許可の委任

このセクションでは、GuardDuty サービス自体が動作するためと、ユーザーの代わりにオペレーション (結果の生成など) を実行するために必要なアクセス許可について説明します。

コンソールまたはプログラム (API オペレーションまたは AWS CLI コマンド) を使用してを有効にすると、AWSServiceRoleForAmazonGuardDuty というサービスにリンクされたロールが自動的に割り当てられます。サービスにリンクされたロールは、AWS のサービス (この場合は GuardDuty) に直接リンクされた一意なタイプの IAM ロールです。サービスにリンクされたロールは、サービスによって事前に定義され、ユーザーに代わってサービスが AWS の他のサービスを呼び出すために必要なアクセス権限をすべて含んでいます。このリンクされたサービス (この場合は GuardDuty) でも、サービスにリンクされたロールを作成、変更、削除する方法を定義します。サービスにリンクされたロールの詳細については、「サービスにリンクされたロールの使用」を参照してください。

を有効にすると、サービスにリンクされたロールとしてが自動的に作成されます。これには、、VPC フローログ、および DNS ログのイベントをで直接使用および分析し、セキュリティの結果を生成するために必要なアクセス許可と信頼ポリシーが含まれています。

サービスにリンクされたロール AWSServiceRoleForAmazonGuardDuty を編集することはできません。IAM コンソールで、このサービスにリンクされたロールのアクセス権限を表示したり、このロール自体を削除したりできます。サービスにリンクされたロール AWSServiceRoleForAmazonGuardDuty を削除するには、まずその AWS アカウントのすべてのリージョンで GuardDuty を無効 (p. 61)にしておく必要があります。

AWSServiceRoleForAmazonGuardDuty にアタッチされたアクセス許可を表示するには、GuardDuty コンソールの [Setting/General] タブで [View service role permissions] ボタンを選択します。

サービスにリンクされたロール AWSServiceRoleForAmazonGuardDuty にアタッチされているアクセス権限ポリシードキュメントは次のとおりです。

{

"ec2:DescribeInstances", "ec2:DescribeImages"

],

"Resource": "*"

} ] }

サービスにリンクされたロール AWSServiceRoleForAmazonGuardDuty にアタッチされている信頼ポリシーは次のとおりです。

(26)

IAM ポリシーを使用して GuardDuty へのアクセス権を IAM アイデンティティに委任する

{

"Version": "2012-10-17", "Statement": [

{

"Effect": "Allow", "Principal": {

"Service": "guardduty.amazonaws.com"

},

"Action": "sts:AssumeRole"

} ] }

IAM ポリシーを使用して GuardDuty へのアクセス権を IAM アイデンティティに委任する

このセクションでは、GuardDuty へのアクセス権をさまざまな IAM アイデンティティ (ユーザー、グループ、ロール) に委任する方法について説明します。

デフォルトでは、GuardDuty リソース (ディテクター、信頼された IP リスト、脅威リスト、結果、メンバー、マスターアカウント、および呼び出し) へのアクセスは、リソースが作成された AWS アカウントの所有者に限定されます。所有者の場合は、GuardDuty へのフルアクセスまたは制限付きのアクセス権をアカウントのさまざまな IAM アイデンティティに付与できます。IAM アクセスポリシーの作成の詳細については、「AWS Identity and Access Management (IAM)」を参照してください。

トピック

• GuardDuty での AWS 管理 (事前定義) ポリシー (p. 17)

• カスタム IAM ポリシーによる GuardDuty へのフルアクセスの付与 (p. 18)

• カスタム IAM ポリシーによる GuardDuty への読み取り専用アクセスの付与 (p. 19)

• カスタム IAM ポリシーによる GuardDuty の結果へのアクセスの拒否 (p. 19)

• カスタム IAM ポリシーによる GuardDuty のリソースへのアクセスの制限 (p. 20)

GuardDuty での AWS 管理 (事前定義) ポリシー

AWS は、AWS によって作成され管理されるスタンドアロンの IAM ポリシーが提供する多くの一般的ユースケースに対応します。これらの管理ポリシーは、一般的ユースケースに必要なアクセス権限を付与することで、どの権限が必要なのかをユーザーが調査する必要をなくすことができます。詳細については、

『IAM ユーザーガイド』の「AWS 管理ポリシー」を参照してください。

アカウントのユーザーにアタッチ可能な以下の AWS 管理ポリシーは、GuardDuty に固有のものです。

• AmazonGuardDutyFullAccess – – は、GuardDuty のすべての機能にアクセスできます。ただし、信頼されている IP リストおよび脅威リストを GuardDuty で操作する場合、ID のアクセスはこの管理ポリシーによって制限されます。具体的には、AmazonGuardDutyFullAccess 管理ポリシーがアタッチされている ID はアップロードされた信頼されている IP リストと脅威リストの名前変更および無効化のみを実行できます。

さまざまな ID に、信頼されている IP リストと脅威リストの操作 (名前変更および無効化に加えて、リストのアップロード、有効化、削除、場所の更新が含まれます) を行うためのフルアクセスを付与するには、次のアクションが IAM ユーザー、グループ、またはロールにアタッチされたアクセス権ポリシーに存在することを確認してください。

(27)

カスタム IAM ポリシーによる GuardDuty へのフルアクセスの付与

{

],

}

• AmazonGuardDutyReadOnlyAccess – – は、GuardDuty への読み取り専用アクセスを提供します。

カスタム IAM ポリシーによる GuardDuty へのフルアクセスの付与

以下のカスタムポリシーを使用して、IAM ユーザー、ロール、またはグループに GuardDuty コンソールと GuardDuty のすべてのオペレーションへのフルアクセスを付与できます。

Note

{

"guardduty:*"

],

"Resource": "*"

}, {

],

"StringLike": {

} } }, {

],

} ] }

(28)

カスタム IAM ポリシーによる GuardDuty への読み取り専用アクセスの付与

次のポリシーを使用して、IAM ユーザー、ロール、またはグループに GuardDuty への読み取り専用アクセス権を付与できます。

{

"guardduty:ListMembers", "guardduty:GetMembers", "guardduty:ListInvitations", "guardduty:ListDetectors", "guardduty:GetDetector", "guardduty:ListFindings", "guardduty:GetFindings", "guardduty:ListIPSets", "guardduty:GetIPSet",

"guardduty:ListThreatIntelSets", "guardduty:GetThreatIntelSet", "guardduty:GetMasterAccount", "guardduty:GetInvitationsCount", "guardduty:GetFindingsStatistics"

],

"Resource": "*"

} ]

}

カスタム IAM ポリシーによる GuardDuty の結果へのアクセスの拒否

次のポリシーを使用し、IAM ユーザー、ロール、またはグループに対して、GuardDuty の結果へのアクセスを拒否できます。ユーザーは結果やその詳細は表示できませんが、その他すべての GuardDuty のオペレーションにはアクセスできます。

{

"guardduty:CreateDetector", "guardduty:DeleteDetector", "guardduty:UpdateDetector", "guardduty:GetDetector", "guardduty:ListDetectors", "guardduty:CreateIPSet", "guardduty:DeleteIPSet", "guardduty:UpdateIPSet", "guardduty:GetIPSet",

(29)

カスタム IAM ポリシーによる GuardDuty のリソースへのアクセスの制限 "guardduty:ListIPSets",

"guardduty:CreateThreatIntelSet", "guardduty:DeleteThreatIntelSet", "guardduty:UpdateThreatIntelSet",

"guardduty:GetThreatIntelSet", "guardduty:ListThreatIntelSets",

"guardduty:ArchiveFindings", "guardduty:UnarchiveFindings", "guardduty:CreateSampleFindings", "guardduty:CreateMembers", "guardduty:InviteMembers", "guardduty:GetMembers", "guardduty:DeleteMembers", "guardduty:DisassociateMembers", "guardduty:StartMonitoringMembers", "guardduty:StopMonitoringMembers", "guardduty:ListMembers",

"guardduty:GetMasterAccount",

"guardduty:DisassociateFromMasterAccount", "guardduty:AcceptInvitation",

"guardduty:ListInvitations", "guardduty:GetInvitationsCount", "guardduty:DeclineInvitations", "guardduty:DeleteInvitations"

],

"Resource": "*"

}, {

],

"StringLike": {

} } }, {

],

} ] }

カスタム IAM ポリシーによる GuardDuty のリソースへのアクセスの制限

ディテクター ID に基づいて GuardDuty に対するユーザーのアクセスを定義するには、次のオペレーションを除くすべての GuardDutyオペレーションをカスタム IAM ポリシー内で使用できます。

• guardduty:CreateDetector

• guardduty:DeclineInvitations

• guardduty:DeleteInvitations

(30)

カスタム IAM ポリシーによる GuardDuty のリソースへのアクセスの制限

• guardduty:GetInvitationsCount

• guardduty:ListDetectors

• guardduty:ListInvitations

IAM ポリシーの以下のオペレーションを使用し、IPSet ID および ThreatIntelSet ID に基づいて、GuardDuty に対するユーザーのアクセス権を定義できます。

• guardduty:DeleteIPSet

• guardduty:DeleteThreatIntelSet

• guardduty:GetIPSet

• guardduty:GetThreatIntelSet

• guardduty:UpdateIPSet

• guardduty:UpdateThreatIntelSet

以下の例では、前述のオペレーションのいくつかを使用してポリシーを作成する方法を示します。

• このポリシーでは、ユーザーはリージョンでディテクター ID として 1234567 を使用し、オペレーションを実行できます。

{

"Version": "2012-10-17", "Statement": [

{

"guardduty:UpdateDetector", ],

"Resource": "arn:aws:guardduty:us-east-1:012345678910:detector/1234567"

} ] }

• このポリシーでは、ユーザーはリージョンでディテクター ID として 1234567、IPSet ID として 000000 を使用し、オペレーションを実行できます。

Note

GuardDuty の信頼された IP のリストと脅威リストにアクセスするために必要なアクセス許可がそのユーザーにあることを確認します。詳細については、「信頼されている IP リストと脅威リストをアップロードするために必要なアクセス権限 (p. 50)」を参照してください。

{

"guardduty:UpdateIPSet", ],

"Resource": "arn:aws:guardduty:us-east-1:012345678910:detector/1234567/

ipset/000000"

} ] }

• このポリシーでは、ユーザーはリージョンで任意のディテクター ID と、IPSet ID として 000000 を使用し、オペレーションを実行できます。

(31)

カスタム IAM ポリシーによる GuardDuty のリソースへのアクセスの制限

Note

{

"Resource": "arn:aws:guardduty:us-east-1:012345678910:detector/*/

ipset/000000"

} ] }

• このポリシーでは、ユーザーはリージョンでディテクター ID として 1234567 と任意の IPSet ID を使用し、オペレーションを実行できます。

Note

{

"Resource": "arn:aws:guardduty:us-east-1:012345678910:detector/1234567/ipset/

*"

} ] }

Amazon GuardDuty - Amazon Guard Duty ユーザーガイド

Amazon GuardDuty

Amazon Guard Duty ユーザーガイド

Amazon GuardDuty: Amazon Guard Duty ユーザーガイド

Copyright © 2018 Amazon Web Services, Inc. and/or its affiliates. All rights reserved.

Table of Contents

Amazon GuardDuty とは

GuardDuty の料金表

GuardDuty へのアクセス

Amazon GuardDuty でデータソース を使用する方法

AWS CloudTrail イベントログ

Important

VPC フローログ

Important

DNS ログ

Amazon GuardDuty の用語と概念

Amazon GuardDuty サービスの制限

Amazon GuardDuty でサポートされ ているリージョン

Important

Important

Amazon GuardDuty をセットアップ する

AWS にサインアップするには

Note

Amazon GuardDutyの有効化

Note

Important

Amazon GuardDuty 無料トライアル

Important

Amazon GuardDuty のサービスにリンクされたロー ルの使用

GuardDuty のサービスにリンクされたロールのアクセ ス許可

Note

のサービスにリンクされたロールの作成GuardDuty

Important

GuardDuty のサービスにリンクされたロールの編集

GuardDuty のサービスにリンクされたロールの削除

Important

Amazon GuardDuty へのアクセスの 管理

GuardDuty の有効化に必要なアクセス許可

Note

サービスにリンクされたロールによる GuardDuty へのアクセス許可の委任

IAM ポリシーを使用して GuardDuty へのアクセス 権を IAM アイデンティティに委任する

GuardDuty での AWS 管理 (事前定義) ポリシー

カスタム IAM ポリシーによる GuardDuty へのフルア クセスの付与

Note

カスタム IAM ポリシーによる GuardDuty への読み取 り専用アクセスの付与

カスタム IAM ポリシーによる GuardDuty の結果への アクセスの拒否

カスタム IAM ポリシーによる GuardDuty のリソース へのアクセスの制限

Note

Note

Note

Amazon GuardDuty でデータソースを使用する方法

Amazon GuardDuty でサポートされているリージョン

Amazon GuardDuty をセットアップする

Amazon GuardDuty のサービスにリンクされたロールの使用

GuardDuty のサービスにリンクされたロールのアクセス許可

Amazon GuardDuty へのアクセスの管理

IAM ポリシーを使用して GuardDuty へのアクセス権を IAM アイデンティティに委任する

カスタム IAM ポリシーによる GuardDuty へのフルアクセスの付与

カスタム IAM ポリシーによる GuardDuty への読み取り専用アクセスの付与

カスタム IAM ポリシーによる GuardDuty の結果へのアクセスの拒否

カスタム IAM ポリシーによる GuardDuty のリソースへのアクセスの制限