【S3 PITR対応】ランサムウェア復旧の「死の選択」を回避せよ！GuardDuty Malware ProtectionがS3継続的バックアップを完全サポート！

Amazon GuardDuty Malware Protection for AWS Backupが、Amazon S3の継続的バックアップ（Point-in-Time Recovery: PITR）への対応を開始しました。これにより、S3のPITRタイムライン上の任意の復元可能な時点に対して、フルスキャンまたは増分スキャンによるマルウェアスキャンを実行し、安全な復旧ポイントを特定することが可能になります。また、新しく導入された GetPITRMalwareScanResults APIにより、プログラムを介して特定の時点のバックアップがクリーンであることを事前に確認できるようになりました。

🛡️ 「いつ戻しても感染している」という地獄を回避する技術

ランサムウェア攻撃を受けた際、S3のPITR（継続的バックアップ）を使って復元しようとしても、「どの時点まで遡ればマルウェアが含まれていないのか？」という判断は、エンジニアにとって非常に重い決断です。間違った時点を選べば、復旧した瞬間に再び感染するという最悪のシナリオが待っています。

今回のアップデートは、まさにその「不確実性」を解消するものです。

✅ 日本の現場で使える？

リサーチの結果、東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）の両方で利用可能であることが確認できました。国内のマネージドサービス運用においても、即座に導入を検討できる非常に強力な武器になります。

🛠️ 実装と運用の勘所

1. オンデマンドスキャンの仕様に注意: S3 PITRのオンデマンドスキャンでは「増分スキャン」はサポートされず、フルスキャンが実行されます。コストと実行時間のバランスを考慮した運用設計が求められます。
2. 新APIの活用: GetPITRMalwareScanResults を使い、復旧ワークフローに「スキャン結果確認 → クリーンなら復元実行」という自動化ロジックを組み込むのがベストプラクティスです。
3. 権限設定は厳格に: バックアップロールとスキャナーロール（malware-protection.guardduty.amazonaws.com を信頼する設定）の構成を忘れないようにしましょう。

🚀 まず何をすべきか？

まずは、既存のS3継続的バックアップを運用している環境で、バックアッププランへのマルウェアスキャン有効化を試してみることをお勧めします。特に、重要なデータのバックアップは、EventBridgeによる脅威通知の自動化をセットで構築しておきましょう。

参照ドキュメント: Amazon GuardDuty Malware Protection for AWS Backup ドキュメント Amazon GuardDuty ドキュメント