ハンズオンラボ›Azure

GuardDuty でライブに脅威を検知し自動対応する

Amazon GuardDuty を有効化してサンプル脅威を発生させ、EventBridge と Lambda を使って検出結果（Findings）を自動的に解析・通知する一連の脅威検知＆自動対応パイプラインを構築します。Lambda の重大度しきい値で自動トリアージし、High／Critical の脅威だけを SNS メールでライブに受け取る体験まで行います。すべて東京リージョンで完結します。

中級約 50 分Azure 実環境

ラボ概要

Amazon GuardDuty を有効化し、サンプル脅威（Findings）を発生させ、EventBridge と Lambda を使って検出結果を自動的に解析・通知する「脅威検知から自動対応まで」のパイプラインをゼロから構築します。最後に SNS のメール通知で重大度の高い脅威をライブに受け取ります。

学習目標

  • Amazon GuardDuty を有効化し、脅威検出の仕組みを理解する
  • サンプル Findings を生成して、検出結果の構造と重大度（Severity）を読み解く
  • EventBridge ルールで GuardDuty Findings をイベント駆動で捕捉する
  • Lambda 関数で Findings を解析・整形し、自動対応のロジックを実装する
  • SNS を使い、High／Critical の脅威をメールでライブ通知する

ラボの構成

  1. 1通知先の SNS トピックを作成する
  2. 2Amazon GuardDuty を有効化する
  3. 3サンプル Findings を生成する
  4. 4Lambda 関数の実行ロールを作成する
  5. 5Findings を解析する Lambda 関数を作成する
  6. 6EventBridge ルールで Findings を Lambda にルーティングする
  7. 7パイプラインをテストする（脅威をライブで発生させる）
  8. 8動作確認
  9. 9完了チェックリスト
  10. 10後片付け

詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。

手順のプレビュー（最初のステップ）

GuardDuty でライブに脅威を検知し自動対応する

> リージョンは必ず「アジアパシフィック(東京) ap-northeast-1」を選択してください。画面右上のリージョン表示が「東京」になっていることを確認してから進めてください。本ラボのすべての操作を東京リージョンで行います（IAM はグローバルサービスのため、IAM 画面ではリージョンセレクターが「グローバル」と表示されますが、それで正常です）。

残り 9 セクションの手順は、ラボを開始すると画面内に表示されます

構成図

構成図

参考リソース

参考リンク