Amazon Detectiveによるインシデント調査 GuardDuty検出から原因と影響範囲を絞り込む

GuardDutyが不審な通信を検出したとき、それが何によって起きたのか、どこまで影響が及んだのかをどう調べますか。SCS試験では、検出後の調査に使うサービスの役割分担が問われます。その中心になるのが Amazon Detective です。

覚え方：検出から対応までの3つの段階

• 検出：GuardDuty、Inspector、Macieが問題を発見
• 集約：Security Hubが検出結果を集約し優先度を付ける
• 調査：Detectiveが関連ログを関係付けて原因と影響範囲を可視化

Detectiveが行うこと

CloudTrailのログ、VPCフローログ、GuardDutyの検出結果などを自動で取り込み、グラフモデルでIAMプリンシパル、IPアドレス、EC2インスタンスなどの関係を可視化します。どんな要件のとき選ぶか：検出結果の根本原因を調べ、同じ認証情報で他に何が操作されたかを突き止めたいときです。ログの収集や構造化を自前で行う必要はありません。

調査の進め方

GuardDutyの検出結果からDetectiveの調査画面へ遷移し、対象のIAMロールやIPアドレスの活動を時系列で確認します。通常の利用パターンとの差異を比較できるため、不審な操作かどうかを判断しやすくなります。

マルチアカウントでの利用

Organizationsの委任管理者を設定して、複数アカウントのデータを1つのビヘイビアグラフに統合できます。どんな要件のとき選ぶか：組織全体のインシデントを一元的に調査したい場合です。

チェックリスト

• 検出・集約・調査の役割分担を説明できる
• Detectiveが取り込むデータソースを挙げられる
• GuardDutyとの使い分けを説明できる
• 委任管理者による組織横断の調査を説明できる

まとめ

検出したあと、原因と影響範囲を調べる段階でDetectiveを使います。サービスの役割分担を整理しておきましょう。 知識が定着したら、クイズで理解度を確認しましょう。最新の試験情報はAWS認定 公式ページで確認できます。