Amazon GuardDuty Malware Protection for Amazon S3の ここがすごい! 戸井田 理 1 / 17

$ whoami 名前:戸井田 理(みどり) / @ryder472 所属: 日本ラッド株式会社 クラウドソリューション事業部ビッグデータ技術部 好きなキーバインド: Emacs 好きなサービス: TiDB JAWS-UG 茨城 運営 第007636号 2 / 17

みなさん!!!! 3 / 17

マルウェアは 好きか!!!!???? 4 / 17

･･･ 5 / 17

自分は嫌いです｡ 6 / 17

Amazon S3のマルウェア対策 1. EC2に一回アップロードしてスキャン 2. S3にあげてからLambdaでスキャン(自力で解決) 3. サードパーティのサービスを使う (Trend Vision Oneとか) 4. Amazon GuardDuty Malware Protection for Amazon S3 を使う 7 / 17

Amazon GuardDuty Malware Protection for Amazon S3 re:Inforce 2024で発表されたGuardDutyの新機能 S3に保存されたオブジェクトをスキャン､結果をタグ付け →タグが自動でつけられるのでそれをトリガーにできる 利用できるストレージタイプはミリ秒アクセスができる タイプのみ 料金はスキャンファイル数+スキャン容量で決定 8 / 17

Amazon GuardDuty Malware Protection for Amazon S3 Guard Duty本体を有効にしなくてもこれだけで利用する ことも可能 (でもGuardDutyは有効にしておいた ほうがいい) 9 / 17

他のGuardDutyの機能との違い S3 Protectionとの違い S3バケット自体に対する不正アクセスや脅威検知をするもので オブジェクト自体は対象外 EC2 の Malware Protection EBSボリュームをスキャンしてその中のマルウェアを検知する ものでS3は対象外 10 / 17

できること､できないこと できること 追加のリソース無しでオブジェクトのマルウェアスキャン スキャン済みオブジェクトに対してタグ付け(任意) できないこと 単体で検知オブジェクトの駆除､除外(Lambdaが必要) →アクセスさせないだけならバケットポリシーでできる 11 / 17

ユースケース エンドユーザーからファイルをアップロードされたものをS3へ保 存しておく場合 外部からファイルをダウンロードしてきてそれをS3へ保存して おく場合 →内部で生成したファイル(e.g. CloudTrailのログ)などは スキャン対象から外すのが良いのではないでしょうか｡ 12 / 17

有効化するときのポイント バケット内の特定のプ レフィックスの ものをスキャン対象に できる 13 / 17

スキャンの頻度や注意点 ● スキャンはPUTイベントで走る ○ 既存バケットを有効化したとき､すでにある オブジェクトはそのままだとスキャンされない ● ファイルサイズが5GBを超えたり､圧縮ファイルのファイル数 が1000を超えていたり､深度が5を超えていた場合スキャン できません｡ 14 / 17

注意事項(お約束) むやみにマルウェアをアップロードする行為は日本国内におい て以下の法律に違反する可能性があります｡ 不正指令電磁的記録に関する罪(刑法19条の2) 電子計算機損壊等業務妨害罪(刑法234条の2) テスト用としてはこれから使用するeicarテストファイルを使用す ることをおすすめします｡ 15 / 17

実演 実験用ファイルとしていくつか準備しました｡ eicar.com, eicar.txt: eicarテストファイル contamination.xlsx: eicarテストファイルが混入したエクセル ファイル encrypted.zip: eicar.comを暗号化zipにしたもの key.png, da01.xlsx: 無害な画像､エクセルファイル 16 / 17

結果(無害なファイル) 無害なファイル(key.png, da01.xlsx)は key:GaurdDutyMalwareScanStatus value:NO_THREATS_FOUND が付与されていました｡ 17 / 17

結果(有害なファイル) 有害なファイル(eicar.com, eicar.txt, contamination.xlsx)は key:GaurdDutyMalwareScanStatus value:THREATS_FOUND が付与されていました｡ 18 / 17

結果(スキャン不能なファイル) スキャン不能なファイル(encrypted.zip)は key:GaurdDutyMalwareScanStatus value:UNSUPPORTED が付与されていました｡ 19 / 17

まとめ ● 外部サービスなしでマルウェアスキャンができる ● GuardDuty+S3バケットポリシーでアクセス制限だけはでき る ○ 駆除や除外がしたい場合､Lambdaが必要 ● もしマルチクラウド環境でTrend Vision One等を使用 していたらそっちを使ったほうがいいのかも ○ GuardDutyはファイル数と容量に対して課金 ○ Trend Vision Oneはファイル数のみ 20 / 17

宣伝 https://jawsug-ibaraki.connpass.com/event/338441/ 21 / 17