ラボ概要
Amazon GuardDuty による脅威検出と AWS CloudTrail の証跡を組み合わせて、セキュリティインシデントを調査する一連の流れを体験します。まず EventBridge と SNS / CloudWatch Logs を使って検出結果を自動的に通知・集約するパイプラインを構築し、その後 GuardDuty のサンプル検出結果を使って疑わしいアクティビティを発生させ、CloudTrail でその裏付けとなる API 呼び出しを確認します。新規に生成された検出結果はニアリアルタイムで EventBridge に発行されるため、生成したサンプルがそのままパイプラインの疎通確認になります。
学習目標
- GuardDuty を有効化し、脅威検出の仕組みと検出結果（Findings）の構造を理解する
- サンプル検出結果を生成し、深刻度・タイプ・関連リソースを読み解く
- CloudTrail のイベント履歴で、調査に必要な API アクティビティを検索・特定する
- EventBridge ルールで GuardDuty 検出結果を捕捉し、SNS 経由でメール通知する
- CloudWatch Logs に検出結果を集約し、Logs Insights でクエリ分析する
前提
- フェデレーションコンソールに
cloud_userロールでサインイン済みであること - 通知の受信に使える自分のメールアドレスが1つあること
ラボの構成
- 1GuardDuty を有効化する
- 2通知用の SNS トピックを作成する
- 3CloudWatch ロググループを作成する
- 4EventBridge ルールで検出結果を捕捉して通知・集約する
- 5サンプル検出結果を生成する
- 6検出結果を読み解く
- 7CloudTrail のイベント履歴で裏付けを取る
- 8パイプラインの動作を確認する
- 9CloudWatch Logs Insights で分析する
- 10動作確認
- 11完了チェックリスト
- 12後片付け
詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。
構成図
参考リソース
参考リンク
- Amazon GuardDuty ドキュメント — 脅威検出サービスの有効化・検出結果(Findings)・サンプル生成の解説
- AWS CloudTrail ドキュメント — イベント履歴による API アクティビティの検索・調査の手引き
- Amazon EventBridge ドキュメント — イベントパターンとルールでターゲットへ配信する仕組み
- Amazon SNS ドキュメント — トピックとメール購読による通知配信の基礎
- Amazon CloudWatch Logs ドキュメント — ロググループへの集約と Logs Insights によるクエリ分析
- Amazon GuardDuty 製品ページ — GuardDuty の概要・ユースケース・料金の公式ページ