Amazon GuardDuty に環境に合わせて拡張可能なカスタム検知ルールが追加

Amazon GuardDuty に、CloudTrail の管理イベントを対象とした 35 個の事前定義済みルール（Custom Detection Rules）が導入されました。この機能はオプトイン方式で提供され、10 の MITRE ATT&CK® タクティクスにマッピングされた 26 種類の検出タイプを生成します。ログの取り込みや正規化、ストレージ管理の運用負荷をかけることなく、環境固有の脅威検知範囲を拡張することが可能です。

💡 今回のアップデートのポイント

これまで「環境によっては日常的な操作」が検知されてしまい、アラート疲れ（Alert Fatigue）の原因となっていた課題に対する、非常に実用的な解決策です。

🛠 解決される課題とメリット

• ノイズの削減と検知精度の向上: AMI の外部共有や MFA なしでのサインインなど、環境によって「正常」か「異常」かが分かれる操作を、必要なアカウントでのみ検知対象として有効化できます。
• 運用コストの最小化: 自前でログ基盤（S3 や Athena など）を構築して検知ロジックを書く必要がなく、マネージドサービスとして即座に TTP（戦術・技術・手順）のカバー範囲を広げられます。

🇯🇵 日本国内での利用状況

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で利用可能です。すべての AWS 商用リージョンが対象となっているため、国内のプロジェクトでも安心して導入を検討できます。

🚀 実務へのアドバイスと次のアクション

いきなり本番運用を開始するのではなく、まずは 「ドライランモード (dry-run mode)」 を活用しましょう。これにより、実際の運用に影響を与えずに、そのルールがどれくらいの頻度で検知を発生させるか（＝ノイズにならないか）を事前に評価できます。

Next Action:

1. GuardDuty コンソールまたは API から Custom Detection Rules を確認する。
2. 運用環境の特性に合わせて、特定のルールをドライランモードで有効化し、検知の有効性を検証する。

Reference: Amazon GuardDuty Custom Detection Rules