GuardDuty が機微ファイルの改ざんを狙い撃ち！

やっほー、しぃちゃんだよ！今日はセキュリティの守りをちょっと賢くしてくれるアップデートを見つけたから紹介するね。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、Amazon GuardDuty の Runtime Monitoring に「大事なファイルが書き換えられた瞬間」を見つける新しい脅威検知が 3 つ追加されたって発表があったの。設定ファイルや認証まわりの設定、システムログといった、触られたら困るファイルの変更を見張ってくれる機能だよ。

対象は EC2 インスタンスやコンテナのワークロード。攻撃者が侵入したあとにこっそりやる、居座りや後始末の動きを捕まえるのが狙いなの。

今までどうだったの？

これまでのランタイム監視は、どんなコマンドが実行されたかを見るのが中心だったの。でも、ずる賢い攻撃者はコマンドを難読化して、コマンドライン監視をすり抜けちゃうことがあったんだよね。

GuardDuty はそこを、こう説明しているよ。

detect threats even when attackers use obfuscated techniques that bypass traditional command-line monitoring

つまり「コマンドの見た目」じゃなくて「ファイルに実際に何が起きたか」を見ることで、隠れた攻撃も捕まえようっていう発想なの。

これで何が変わるの？

コマンドをごまかされても、ファイルへの操作そのものは痕跡が残るから、そこを押さえれば取りこぼしが減るんだ。しかも相関分析で、管理者がふつうにやる正当な操作とあやしい操作をちゃんと区別してくれるから、アラートまみれになりにくいのもうれしいところだよ。

深く潜ってみよう

新しく見張るファイル操作は 5 つ。open-for-write・rename・symlink・link・unlink だよ。ファイルを書き込みで開いたり、名前を変えたり、リンクを張ったり消したり…という基本操作を押さえてるのがポイント。

検知の結果は、次の 3 種類の finding として上がってくるの。

• Persistence:Runtime/SensitiveFileModified（居座り）
• PrivilegeEscalation:Runtime/SensitiveFileModified（権限昇格）
• DefenseEvasion:Runtime/SensitiveFileModified（防御の回避）

名前を見るだけで攻撃のどの段階かがわかるようになってるのが親切だね。上がってきた finding の見方は Amazon GuardDuty Findings のドキュメントに、通知を受け取る仕組みは Amazon GuardDuty SNS topic のページにまとまってるよ。

使えるのは、EC2・EKS・ECS のワークロードで GuardDuty Runtime Monitoring を有効にしている人。はじめて使う人には 30 日間の無料トライアルもあるから、まずは軽く様子見から入れるのもうれしいね。

まとめ

• GuardDuty Runtime Monitoring に、機微なファイルの変更を捕まえる脅威検知が 3 つ追加されたよ
• 監視するのは open-for-write・rename・symlink・link・unlink の 5 操作
• finding は Persistence / PrivilegeEscalation / DefenseEvasion の 3 タイプで、攻撃段階がわかる
• コマンド難読化ですり抜ける攻撃も、ファイル操作を見て捕まえるのがミソ
• EC2・EKS・ECS で Runtime Monitoring を使ってる人向け、新規は 30 日間の無料トライアルあり

EC2 やコンテナを本番で回していて、侵入後の動きまでしっかり見張りたいセキュリティ担当さんに刺さるアップデートだよ！