5min GuardDuty Extended Threat Detection EKS

Transcript

1. 5分でわかる！GuardDuty 拡張脅威検出 EKS 編
2. 2 • 部署 ◦ クラウド事業本部コンサルティング部 • 名前（ニックネーム） ◦ たかくに • ロール ◦ ソリューションアーキテクト ⾃⼰紹介
3. re:Inforce 2025 どうでしたか？
4. GuardDuty でしたね。
5. Extended Threat Detection の話をします。
6. Extended Threat Detection とは
7. 拡張脅威検出 です！
8. 拡張脅威検出とは
9. 拡張された脅威を検出する機能！
10. 10 今までの GuardDuty Threat Detection 1. EC2 finding types 2. IAM finding types 3. S3 Protection finding types 4. EKS Protection finding types 5. GuardDuty Runtime Monitoring finding types 6. Malware Protection for EC2 finding types 7. Malware Protection for S3 finding type 8. RDS Protection finding types 9. Lambda Protection finding types
11. 11 これからの GuardDuty Threat Detection 1. EC2 finding types 2. IAM finding types 3. S3 Protection finding types 4. EKS Protection finding types 5. GuardDuty Runtime Monitoring finding types 6. Malware Protection for EC2 finding types 7. Malware Protection for S3 finding type 8. RDS Protection finding types 9. Lambda Protection finding types 10. GuardDuty attack sequence finding types（NEW !）
12. • 複数の脅威が連なった状態を検出 • 普段の検出タイプに加え、弱いシグナルも評価対象 ◦ 弱いシグナル：普段の検出タイプでは表⽰されな い API アクティビティ • MITRE ATT&CK のステップ別に重要度を表⽰ 12 GuardDuty attack sequence finding types
13. • Attack sequence ◦ 複数のイベント（シグナル）の相関関係 • Findings ◦ GuardDuty が発⾒した脅威（≒シグナル） • Signals ◦ GuardDuty が観察した API アクティビティ 13 単語のおさらい
14. 14 図にすると
15. ここからアップデートの紹介です
16. • AttackSequence:IAM/CompromisedCredentials ◦ IAM が侵害されている可能性が⾼い場合に検出 • AttackSequence:S3/CompromisedData ◦ S3 が漏洩している可能性が⾼い場合に検出 • AttackSequence:EKS/CompromisedCluster（NEW） ◦ Amazon EKS クラスター内で⼀連の疑わしいアクショ ンがあった場合に検出される 16 GuardDuty attack sequence finding types
17. 17 複数の脅威が連なった状態を検出
18. 18 MITRE ATT&CK のステップ別に重要度を表⽰
19. • EKS audit log events • AWS CloudTrail data events for S3 • AWS CloudTrail management events • VPC Flow Logs • Route53 Resolver DNS query logs • Amazon EKS malware detection for Amazon EC2 • Runtime Monitoring for Amazon EKS 19 参照するソース
20. 20 ログを有効化しておく必要があるのか...？ https://aws.amazon.com/jp/guardduty/faqs/
21. 以下のどちらかを有効にしておくこと • EKS Protection • EKS Runtime Monitoring 最⼤限活⽤したい場合は、どちらも有効が推奨 21 前提条件
22. • 拡張脅威検出は⼀連の脅威を連なった形で検出する脅威タイプ ◦ 今回新たに EKS クラスターの脅威タイプが加わった • 複数のデータソースから脅威を検出 ◦ ⼀部のデータソースはユーザー側の設定がなくとも、 GuardDuty 側で独⽴して収集してくれる • EKS Protection または Runtime Monitoring for Amazon EKS のど ちらも有効化して最⼤限機能を活かしましょう！ 22 まとめ