AWSセキュリティで活用するAI機能

by cm-usuda-keisuke

Embed

Start on current slide

Slide 1

Slide 1 text

ハッシュタグ: #devio2026 AWSセキュリティで活用するAI機能クラウド事業統括本部プラットフォーム事業本部サービス開発部臼田佳祐

Slide 2

Slide 2 text

こんにちは、臼田です。みなさん、セキュリティ対策にAI活用してますか？(挨拶 2

Slide 3

Slide 3 text

自己紹介臼田佳祐(うすだけいすけ) ・クラスメソッド株式会社 / クラウド事業統括本部シニアソリューションアーキテクトセキュリティチームリーダー 2021 APN Ambassador 2025 APN AWS Top Engineers (Security) AWS Security Hero (2023~) AWS Samurai 2025 ・CISSP ・Security-JAWS運営・好きなサービス: Amazon GuardDuty AWS Security Hub Amazon Detective Amazon GuardDuty AWS Sec urity Hub Amazon Detective ブログ本数 800+ みんなのAWS (技術評論社)

Slide 4

Slide 4 text

前置き 4

Slide 5

Slide 5 text

AIとセキュリティと言っても色々ありますね今回のテーマ AIを守る Security for AI AIで守る AI for Security AIで攻められる使う脆弱性診断フィッシング組み込むインシデント調査攻撃の自動化 Attacks by AI 作る 5

Slide 6

Slide 6 text

AWSとセキュリティのAI機能 Amazon GuardDuty Investigation AWS Security Agent 検出結果を追加調査し、判断材料と対応手順を出す設計診断・コード診断・動的アプリ診断 6

Slide 7

Slide 7 text

おまけ: AWSのAIに対するセキュリティ機能 AWS Security Hub CSPM AI Security Best Practices AWS Security Hub AI inventory Amazon GuardDuty AI Protection AWS WAF AI activity dashboard / Bot Control Amazon Bedrock Guardrails Amazon Bedrock AgentCore Gateway / Identity / Policy 7

Slide 8

Slide 8 text

合わせて読みたい Amazon Bedrock、 Bedrock AgentCore、 Amazon SageMaker などのリソース群を可視化できる https://dev.classmethod.jp/arti cles/aws-security-hub-ai/ 8

Slide 9

Slide 9 text

合わせて読みたい英語ではブロックできても日本語だとブロックできないなど、言語ギャップの検証結果の発表 https://dev.classmethod.jp/art icles/guardduty-ai-protectionbedrock-guardrails-tierverification/ 9

Slide 10

Slide 10 text

合わせて読みたい AI/Botからのトラフィックを可視化したり、ボット単位のBlock設定などが可能 https://dev.classmethod.jp/articl es/aws-waf-ai-activitydashboard/ 10

Slide 11

Slide 11 text

セキュリティに使うAI機能 11

Slide 12

Slide 12 text

Amazon GuardDuty Investigation概要 ● 2026年6月23日にプレビューリリース(今は無料) ● 検出結果だけでなく、過去90 日の関連アクティビティや影響を受けたリソース、脅威インテリジェンスまでAIが調査 ● リスクレベル・確信度・根拠・推奨アクションを提示 12

Slide 13

Slide 13 text

Amazon GuardDuty Investigationの使い方 ① 範囲を選ぶ検出結果〜組織全体 ② 調査を実行数分〜十数分で完了 ③ 結果を確認リスク・根拠・推奨 13

Slide 14

Slide 14 text

Amazon GuardDuty Investigationのいいところ追加調査した結果はわかりやすくAIの信頼性スコアもある 14

Slide 15

Slide 15 text

Amazon GuardDuty Investigationのいいところ判断材料とそれぞれをどう評価したかが記述され、判断の根拠を読み取りやすい 15

Slide 16

Slide 16 text

Amazon GuardDuty Investigationのいいところ攻撃の進行プロセスを整理してくれる 16

Slide 17

Slide 17 text

Amazon GuardDuty Investigationのいいところ提示する対応手順がしっかりしている ● 隔離 ○ 1. IAMユーザー/ロールにdeny-allインラインポリシーをアタッチ ● 駆除 ○ 2. 侵害されたIAMアクセスキーを無効 ● 強靭化 ○ 3. IAMアクセスキーをローテーション ○ 4. IAMユーザーにMFAを適用 ○ 5. 最小権限の原則に基づき、IAMポリシーを見直し制限 17

Slide 18

Slide 18 text

Amazon GuardDuty Investigationのいいところ対応手順がコマンドレベルまで記載されている 18

Slide 19

Slide 19 text

Amazon GuardDuty Investigationのまだなところ ● 調査の開始を利用者が実行する必要がある ● 調査の単位はFinding単体・AWSアカウント・組織の3粒度のみ ● 時間指定など柔軟に調査の指定ができない 19

Slide 20

Slide 20 text

AWS Security Agent(AWS Continuumの一部)概要 ● 2026年3月31日にペネトレーションテストがGA ● 設計のレビュー、SAST、DASTに加え脅威モデリングも可能 ● ペネトレーションテストは$50/タスク時間(無料枠あり) ※コードレビューもGAした 20

Slide 21

Slide 21 text

AWS Security Agentの使い方 ● ドメインやリポジトリを登録してスキャン開始 ● それぞれ5~30時間とかかかる ● VPC内でVPCE経由、認証情報登録など必要な機能は増えている 21

Slide 22

Slide 22 text

ちなみに診断対象のアプリも AIで作っちゃいましたロゴのデザインとかも結構頑張れるのでよいですね 22

Slide 23

Slide 23 text

AWS Security Agentのいいところロジックも確認してテストを試行するスキャン結果概要文より: このアプリケーションは、HTTPS/TLSリスナーを介して提供される、顧客向け（ショップ、カート、商品レビュー、注文）と販売者/管理（ダッシュボード、販売者）のワークフローが明確に分かれたマルチテナントのeコマースプラットフォームとして機能します。 23

Slide 24

Slide 24 text

AWS Security Agentのいいところ脆弱性の説明からPR作成までいい感じにできる 24

Slide 25

Slide 25 text

AWS Security Agentのいいところレポートが出せる 25

Slide 26

Slide 26 text

AWS Security Agentのいいところ画面上の可視化も頑張っている 26

Slide 27

Slide 27 text

AWS Security Agentのまだなところ画面もレポートもほとんど英語 27

Slide 28

Slide 28 text

AWS Security Agentのまだなところ高い。日頃から回すには覚悟が必要平均的なアプリケーションテストは約 24 タスク時間で 1 回あたり約 $1,200 程度(公式参考情報) 28

Slide 29

Slide 29 text

セキュリティに使うAI機能まとめ ● Amazon GuardDuty Investigationは調査・対応が捗る ○ ただしスコーピングは改善の余地あり ● AWS Security Agentは人の代わりに診断が捗る ○ ただし高い 29

Slide 30

Slide 30 text

実は他にもAI機能はある 30

Slide 31

Slide 31 text

Amazon Q CloudTrailログ調査 ● 画面左上から呼び出しCloudTrailログの調査が可能 31

Slide 32

Slide 32 text

Amazon Q CloudTrailログ調査指示はFinding IDを渡して調査してと言うだけ 32

Slide 33

Slide 33 text

合わせて読みたい CloudTrailのログ調査、もうお前でいいんじゃないかな？ https://dev.classmethod.jp/a rticles/amazon-guarddutyresource-credentialexfiltration-insideaws/ 33

Slide 34

Slide 34 text

あとはClaudeに整理させる手もある Claudeに直接調査させて整理させる実際の脅威の判断は強い →シミュレーションであると見抜かれた 34

Slide 35

Slide 35 text

まとめ 35

Slide 36

Slide 36 text

まとめ ● AIを使ってセキュリティを守っていく機能は増えてきている ● いろんな場所でいろんな動き方をするが便利に使えるものは多い ● 大事なのはコストとクオリティで検討すること 36

Slide 37

Slide 37 text

No content