GuardDuty Runtime Monitoring に 50 以上の任意検知ルール！まずは dry-run で試せるよ

やっほー、しぃちゃんだよ！セキュリティ好きのみんなに、GuardDuty のうれしい更新を持ってきたよ。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、Amazon GuardDuty の Runtime Monitoring に任意の検知ルール（optional detection rules）が追加されたと発表されたよ。有効化できるルールは 50 以上だよ。

なぜ重要なの？

プロセス・ファイル・ネットワークの動きには、ある環境では普通でも、別の環境では侵害のサインになるものがあるよね。たとえば sudoers ファイルの変更や、監査ログの無効化がそう。環境ごとに「怪しさ」の基準が違うから、任意で選べるルールが用意されたんだね。

これで何が変わるの？

自分の環境に合わせて検知を広げられるよ。しかも dry-run モードで有効化して、検知の効果を確認してから本番の検知に切り替えられるから、誤検知が心配な運用でも試しやすいの。

深く潜ってみよう

対象になるのはこれだよ。

• Amazon EC2 インスタンス
• Amazon EKS
• Amazon ECS（EC2 と AWS Fargate の両方）

ルールは 13 の finding type にまたがっていて、MITRE ATT&CK のタクティクスに対応しているよ。

• persistence（永続化）
• privilege escalation（権限昇格）
• execution（実行）
• defense evasion（防御回避）
• discovery（探索）
• exfiltration（持ち出し）
• command and control（C2）

今回新しく加わった finding type は 4 つだよ。

• CommandAndControl:Runtime/SuspiciousCommand
• CredentialAccess:Runtime/SensitiveFileRead
• Discovery:Runtime/SensitiveFileRead
• Exfiltration:Runtime/SuspiciousCommand

使い始めるには GuardDuty コンソールから。Custom Detection Rules for Runtime Monitoring は、すべての AWS 商用リージョンと AWS GovCloud (US) リージョンで利用できるよ。新機能や検知の更新を受け取りたいときは、GuardDuty の SNS トピックを購読してね。

まとめ

• Runtime Monitoring で 50 以上の任意検知ルールが使える
• EC2・EKS・ECS（EC2 と Fargate）が対象
• 13 の finding type が MITRE ATT&CK のタクティクスに対応し、うち 4 つが新規
• dry-run モードで効果を確認してから本番検知にできる
• 商用リージョンと GovCloud (US) で利用可能

コンテナやインスタンスのランタイム検知を自分の環境向けに育てたいセキュリティ担当の人に刺さるよ！