【革命】Amazon Q Developer を利用したGuardDutyインシデント調査

Transcript

1. 【革命】Amazon Q Developer を利用した 【革命】Amazon Q Developer を利用した GuardDutyインシデント調査 GuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介 1 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
2. 目次 自己紹介 いままでのGuardDuty運用 これからのGuardDuty運用 今後の展望 2 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
3. 自己紹介 { "名前": "三浦杏之介（みうらきょうのすけ）", "入社時期": "2022年4月新卒入社", "所属": "電通総研セキュアソリューション", "業務内容": ["クラウドセキュリティ","AWS設計/構築/運用"], "好きなAWSサービス": ["Amazon GuardDuty","Amazon Q"], "表彰": [ "2025 Japan All AWS Certifications Engineers", "2025 Japan AWS Jr. Champions" ] } 3 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
4. 今回のLTの内容はQiitaに投稿しています 【革命】Amazon Q Developer CLI を利用したGuardDutyインシデント調査 Amazon Q Developer CLI を利用してGuardDutyの抑制ルールを管理する aws-diagram-mcp-serverを使用してGuardDutyのインシデントを可視化する！ 【新機能】面倒なインシデント調査をCloudWatch MCPサーバで効率化する！ 4 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
5. 生成AIつかってるひと？ 生成AIつかってるひと？ 5 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
6. 業務で 業務で生成AIつかってるひと？ 生成AIつかってるひと？ 6 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
7. セキュリティ運用で セキュリティ運用で生成AIつかってるひと？ 生成AIつかってるひと？ 7 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
8. いままでのGuardDuty運用 検知 8 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
9. いままでのGuardDuty運用 検出結果の解読 [ { "AccountId": "XXXX", "Arn": "arn:aws:guardduty:ap-northeast-1:XXXX:detector/XXXX/finding/dccbe52fade6cbf534a90ef "CreatedAt": "2025-07-02T09:02:16.525Z", "Description": "The Amazon S3 bucket test-my-secret-bucket-kyonosuke-202507021744 was grant "Id": "dccbe52fade6cbf534a90ef0604d3359", "Partition": "aws", "Region": "ap-northeast-1", "Resource": { "AccessKeyDetails": { "AccessKeyId": "XXXX", "PrincipalId": "AROA6D2FUA7DXAO7WIIFO:XXXX@gmail.com", "UserName": "AWSReservedSSO_AWSAdministratorAccess_XXXX", "UserType": "AssumedRole" 9 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
10. いままでのGuardDuty運用 各種ログ確認（CloudTrail,VCPフローログなど） "requestParameters": { "bucketPolicy": { "Version": "2012-10-17", "Statement": [ { "Sid": "AllowSpecificAccount", "Effect": "Allow", "Principal": "*", "Action": "s3:*", "Resource": [ "arn:aws:s3:::test-my-secret-bucket-kyonosuke-202507021744", "arn:aws:s3:::test-my-secret-bucket-kyonosuke-202507021744/*" ] } ] 10 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
11. いままでのGuardDuty運用 抑制ルール作成 11 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
12. やること多くて大変、 、 やること多くて大変、 、 12 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
13. 専門的なスキルが必要、 、 専門的なスキルが必要、 、 13 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
14. セキュリティ人材不足、 、 セキュリティ人材不足、 、 14 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
15. Amazon Q がいるぞ！ Amazon Q がいるぞ！ 15 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
16. これからのGuardDuty運用 インシデント調査・ログ確認 アカウントXXXXにサインインし、GuardDutyの検出結果ID'XXXXXXXXXXX'について調べてください。 > GuardDutyの検出結果の詳細を取得しました。以下が検出結果の概要です： 検出タイプ: Policy:S3/BucketAnonymousAccessGranted 重要度: 8.0 (高) 実行されたアクション: • API: PutBucketPolicy • 実行者: AWSReservedSSO_AWSAdministratorAccess_XXXX • 実行日時: 2025年7月2日 08:56:36 UTC この検出は、機密データを含む可能性のあるS3バケットが意図せず パブリックアクセス可能になったことを示しており、早急な対応が必要です。 16 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
17. これからのGuardDuty運用 MCP利用(diagram) GuardDutyの検出結果"XXXXXXXXXXX"について、アーキテクチャを作図して可視化してください。 17 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
18. これからのGuardDuty運用 抑制ルール作成 本インシデントは業務上の意図した操作であることができました。よってGuardDutyの抑制ルールを作成します。 この検知タイプ、アカウントID、東京リージョンの検出結果については、アーカイブするルールを設定してください。 > GuardDuty抑制ルール作成完了 ルール名: S3-BucketAnonymousAccess-Suppression 以下の条件をすべて満たすFindingが自動的にアーカイブされます： 1. 検知タイプ: Policy:S3/BucketAnonymousAccessGranted 2. アカウントID: XXXXXXXXXXXX 3. リージョン: ap-northeast-1 (東京リージョン) 抑制ルールが正常に作成され、今後同様のインシデントは自動的にアーカイブされるようになりました。 18 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
19. 今後の展望 自作のAIエージェント構築 AWSの機能拡張 Amazon Detectiveと比べてログの保存量がないためコスト効率がいい 社内で標準利用しやすい 新しいSecurityHubがAmazon Qと統合するのではないか？ 19 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介
20. まとめ 生成AIをセキュリティ運用で活用しよう そして活用方法はぜひアウトプットしてください！ 20 【革命】Amazon Q Developer を利用したGuardDutyインシデント調査 電通総研セキュアソリューション 三浦杏之介