【緊急】攻撃者の「足跡」を直接監視！Amazon GuardDutyが機密ファイル改ざん検知を強化、EC2/EKS/ECSを鉄壁ガード

Amazon GuardDuty Runtime Monitoringにおいて、Amazon EC2、Amazon EKS、およびAmazon ECSのワークロードにおける機密ファイルの変更を検知する3つの新しい脅威検知機能が追加されました。検知対象は、書き込み、名前変更、シンボリックリンク作成、ハードリンク作成、および削除といった低レベルなファイル操作を直接監視することで、コマンドライン監視を回避する難読化された攻撃手法に対抗します。検知結果（Findings）は、Persistence（永続性）、PrivilegeEscalation（権限昇格）、DefenseEvasion（DefenseEvasion）の3つのカテゴリに分類され、MITRE ATT&CK®へのマッピングと修正推奨策を提供します。

🛡️ 攻撃者の「隠れみの」を許さない、最強のランタイム監視へ

これまでのセキュリティ監視では、シェル履歴などのコマンドライン監視が主流でしたが、攻撃者は巧妙に難読化されたコマンドを使用してこれらを見逃させてきました。今回のアップデートは、「ファイル操作そのもの」を低レベルレイヤーで直接監視するため、コマンドラインをバイパスする攻撃に対して極めて強力な防御手段となります。

🇯🇵 日本の現場への影響：東京・大阪リージョン対応済み！

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) で既に提供されていることを確認しました。日本のエンジニアにとっても、すぐに導入検討が可能な状態です。

🛠️ 運用エンジニアへの実務的なアドバイス

• コストと導入のハードル: GuardDuty Runtime Monitoringを有効に化けていることが前提条件ですが、新規ユーザーには30日間の無料トライアルが用意されています。まずはトライアルで負荷やコスト感を把握するのが定石です。
• 誤検知（False Positive）対策: パッケージ更新やログローテーションなどの正規の管理操作が、アラートとして跳ね上がってくる可能性があります。**抑制ルール（Suppression Rules）**をあらかじめ検討しておきましょう。
• 不変インフラ（Immutable Infrastructure）の検討: コンテナ環境においては、機密ファイルの書き換えを検知するだけでなく、そもそも**読み取り専用ファイルシステム（read-only root filesystem）**を採用し、書き込みを不可能にすることが根本的なセキュリティ強度の向上に繋がります。

🚀 次に行うべきアクション

1. 設定確認: GuardDutyコンソールの[Runtime Monitoring]設定から、対象のEC2/EKS/ECSが保護対象に含まれているかチェック。
2. 検知テスト: 非本番環境のテスト用インスタンスで /etc/crontab 等への不審な操作を行い、正しくFindingが生成されるか検証。
3. 通知設定: 脅威情報を迅速にキャッチするため、GuardDuty SNSトピックへのサブスクライブを検討してください。

Reference: Amazon GuardDuty Findings (AWS公式ドキュメントにて検証済み)