セキュリティサービス分類

このレッスンを終えると、Amazon GuardDuty・AWS Shield・AWS WAF・Amazon Inspector・Amazon Macie などのセキュリティサービスを、要件の文から正しく選べるようになります。名前が似ていて混ざりやすいところなので、役割で分類してから覚えるのが近道です。

自分でサーバーを1台建てるなら

自前のサーバーを守るとき、道具は用途ごとに分かれていました。通信を遮る iptables や ufw、怪しいログイン試行を弾く fail2ban、既知の脆弱性を洗い出す脆弱性スキャナ、ログを見て異常に気づく監視スクリプト。AWS のセキュリティサービスも同じ発想で、防ぐもの・見つけるもの・調べるものに分かれています。1つのサービスが何でもやるわけではありません。

3つの箱に入れる

防ぐ側の使い分け

Shield は DDoS 対策です。無料で全利用者に適用される Standard と、有料で高度な保護と専門チームの支援が付く Advanced があります。「大量のトラフィックでサービスを止められる攻撃」と書かれていれば Shield です。

WAF は Web アプリケーションファイアウォールで、SQL インジェクションやクロスサイトスクリプティングのようにリクエストの中身が悪意を持つ攻撃を止めます。特定の IP アドレスや国からのアクセスを遮るのも WAF の役割です。CloudFront や Application Load Balancer に紐づけて使います。

Shield と WAF はどちらも「防ぐ」ですが、量で攻めてくるのが Shield、中身で攻めてくるのが WAF、と分けると迷いません。

見つける側の使い分け

GuardDuty は脅威検知です。CloudTrail や VPC フローログ、DNS のログを機械学習で分析し、「見慣れない国からの API 呼び出し」「暗号通貨採掘の通信」などを知らせます。エージェントを入れる必要がなく、有効にするだけで動くのが特徴です。

Inspector は脆弱性診断です。対象は EC2 インスタンス、コンテナイメージ、Lambda 関数で、既知の脆弱性や意図しないネットワーク到達性を洗い出します。GuardDuty が「今おかしなことが起きている」を見るのに対し、Inspector は「弱点が残っている」を見ます。

Macie はデータの中身を見ます。S3 に置かれたファイルを機械学習で調べ、クレジットカード番号や個人情報が含まれていないかを検出します。「機微なデータ」「個人情報」「S3」の3語が揃ったら Macie です。

試験ではこう出る

• 「Web サイトが大量のトラフィックで停止させられるのを防ぎたい」→ Shield
• 「SQL インジェクションを遮断したい」「特定の国からのアクセスをブロックしたい」→ WAF
• 「不正な API 呼び出しや異常な通信を継続的に検知したい」→ GuardDuty
• 「EC2 の OS に既知の脆弱性が残っていないか自動でスキャンしたい」→ Inspector
• 「S3 に個人情報が保存されていないか調べたい」→ Macie
• 「複数のセキュリティサービスの検出結果をまとめて見たい」→ Security Hub
• 「検知した後に、何が起点だったのかを調査したい」→ Detective

「検知」という語は GuardDuty、「脆弱性」は Inspector、「機微なデータ」は Macie という対応で、多くの問題が解けます。

まとめ

• セキュリティサービスは防ぐ・見つける・調べるの3つに分けて覚える
• Shield は量の攻撃、WAF は中身の攻撃を止める
• GuardDuty は不審な振る舞い、Inspector は残っている脆弱性を見る
• Macie は S3 の中の機微なデータを見つける
• Security Hub は集約、Detective は原因の深掘り