Amazon GuardDuty が Runtime Monitoring 用のオプション検知ルールを追加

Amazon GuardDuty の Runtime Monitoring において、50 種類以上のオプション検知ルールが利用可能になりました。このルールは、プロセス、ファイル、ネットワークのアクティビティを監視し、sudoers ファイルの変更や監査ログの無効化といった、環境によって判断が分かれる不審な挙動を検知します。対象は Amazon EC2、Amazon EKS、Amazon ECS（EC2 および AWS Fargate）で、MITRE ATT&CK® フレームワークにマッピングされた 13 の検出タイプをカバーします。また、今回のリリースで 4 つの新しい検出タイプが追加されました。

💡 今回のアップデートのポイント

🛠 解決される課題

これまでのセキュリティ監視では、「開発環境では日常的な操作だが、本番環境では攻撃の兆候である」といった、コンテキストに依存する脅威の判別が困難でした。今回のオプションルールにより、sudoers ファイルの改ざんや監査ログの停止といった、権限昇格や防御回避につながる具体的な挙動を、より詳細に検知できるようになります。

🇯🇵 日本国内での利用状況

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能です。AWS 商用リージョン全域で提供されているため、国内のプロジェクトでもすぐに導入を検討できます。

🚀 運用上のアドバイス

新しいルールをいきなり有効化すると、検知アラートが大量に発生して運用負荷が高まる懸念があります。GuardDuty コンソールには dry-run モード が用意されているため、まずはこのモードで検知の有効性を評価し、自社の環境において「ノイズ」にならないかを確認してから本番運用（live detection）に切り替えるのがベストプラクティスです。

✅ 次のアクション

1. GuardDuty コンソールにアクセスし、Runtime Monitoring の設定を確認する。
2. 重要なワークロードに対して、まずは dry-run モード で新しいルールを有効化し、検知ログを観察する。
3. 検知された内容が MITRE ATT&CK® のどの戦術（永続化、権限昇格など）に該当するかを確認し、インシデントレスポンス手順を整備する。

参照ドキュメント: Amazon GuardDuty Custom Detection Rules