Amazon GuardDuty RDS ProtectionがAurora/RDS for PostgreSQLのデータ流出・破壊検知に対応

Amazon GuardDutyのRDS Protectionが拡張され、Amazon Aurora PostgreSQLおよびAmazon RDS for PostgreSQLを対象に、データ流出（exfiltration）およびデータ破壊（destruction）の検知が可能になりました。この新機能「RDS Protection for data activity」は、機械学習（ML）ベースの異常検知と脅威インテリジェンスを用いてクエリパターンを継続的に監視し、エージェントの導入やデータベース設定の変更なしに異常なデータアクティビティを検知します。ログイン異常の検知に加えてアドオンとして有効化でき、全リージョンおよびAWS GovCloud (US) で提供されます。30日間の無料トライアルが提供されています。

運用の視点から見たポイント

これまでGuardDutyのRDS Protectionは主に「ログイン異常」の検知に特化していましたが、今回のアップデートで**「ログイン後の挙動」**まで監視対象が広がったのは非常に大きいです。フィッシングや設定ミスで正当な認証情報を奪取された攻撃者が、大量のデータを抜き出したり、テーブルを削除したりする挙動を検知できるため、防御のレイヤーが一段深まりました。

日本国内での利用状況

リサーチの結果、東京リージョン (ap-northeast-1) でも提供されていることが確認されています。国内の基幹システムをPostgreSQL系で運用している場合は、すぐに導入を検討できる状況です。

実務上のアドバイス

• 導入コストと負荷: エージェントレスであるため、DBインスタンスへの負荷や管理コストを気にせず有効化できるのが最大のメリットです。
• ベースラインの構築: MLベースの検知であるため、有効化直後は正常なクエリパターンを学習する期間が必要です。誤検知（False Positive）が発生した際は、フィードバックを通じて精度を高める運用を推奨します。
• コスト管理: 30日間の無料トライアルがあるため、まずは開発・検証環境でアラートの傾向を確認し、コスト感と検知精度を把握することをお勧めします。

次のアクション

1. GuardDutyコンソールから「RDS Protection for data activity」を有効化し、トライアルを開始する。
2. 既存のログイン監視設定と組み合わせて、どのようなアラートが飛んでくるかシミュレーションを行う。

参考ドキュメント

• GuardDuty RDS Protection ユーザーガイド (https://docs.aws.amazon.com/guardduty/latest/ug/rds-protection.html#rds-pro-supported-db)