Amazon GuardDutyとは

## Amazon GuardDutyとは
**AWS アカウント・ワークロード・データを脅威から保護**するサービス。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3871776/d71e4918-07b7-e96d-f25b-58b5e3c5a3e0.png)

https://aws.amazon.com/jp/guardduty/


## GuardDutyで出来ること
### 1.GuardDuty S3 Protection
1 日あたり 1 兆件を超えるS3イベントを分析できる。
S3 のデータアクセスイベントと S3 設定を継続的にモニタリングおよびプロファイリングして、異常な場所からのリクエスト、S3 パブリックアクセスブロックなどの予防的制御の無効化、疑わしいアクティビティを検出する。

### 2.GuardDuty EKS Protection
EKS 監査ログを分析することで、EKSクラスターのコントロールプレーンのアクティビティをモニタリングする。

### 3.GuardDuty Runtime Monitoring
ホスト上のオペレーティングシステムレベルのアクティビティを可視化し、実行時の脅威を検出することで、EKS クラスター、ECS ワークロード、EC2 インスタンスを簡単に保護できる。

### 4.GuardDuty Malware Protection for Amazon EC2
EC2 インスタンスまたはEC2 で実行されているコンテナワークロードのいずれかが疑わしい動作をしていることを検出すると、EC2 インスタンスにアタッチされている EBS ボリュームをスキャンしてマルウェアがないかを確認する。

### 5.GuardDuty Malware Protection for Amazon S3
スケーラブルなフルマネージド統合マルウェアスキャンにより、S3 バケットへの潜在的に有害なアップロードを検出する。

### 6.GuardDuty RDS Protection
カスタマイズされた ML モデルと、統合された脅威インテリジェンスを使用して、重大度の高いブルートフォース攻撃、疑わしいログイン、既知の脅威アクターによるアクセスなど、RDSの潜在的な脅威を検出できる。

:::note info
GuardDuty の脅威インテリジェンスとは？
AWSとサードパーティプロバイダによって提供される、**攻撃者が使用することがわかっている IP アドレスとドメイン**。
脅威インテリジェンスフィードは、事前に統合されており、**追加費用なし**で GuardDuty で継続的に更新される。

:::

### 7.GuardDuty Lambda Protection
悪意を持って転用されたLambda 関数や、既知の脅威アクターサーバーと通信している侵害された Lambda 関数などの脅威を検出する。

## 料金
GuardDuty の料金は、**サービスログ、イベント、ワークロード、分析されたデータの量に基づく**。

料金プランは以下の2パターンがある。
- 基本価格
- GuardDuty 保護プラン

### 基本価格
| | 料金| 単位 |補足|
|:-----------|:------------|:------------|:------------|
| AWS CloudTrail 管理イベント分析 | 4.72USD/100 万イベント  | 100 万イベント/月あたり|東京リージョンの場合|
| VPC フローログと DNS クエリログの分析 | 1.18USD/GB<br>0.59USD/GB<br>0.29USD/GB<br>0.17USD/GB | 最初の 500 GB/月<br>次の 2,000 GB/月<br>次の 7,500 GB/月<br>10,000 GB/月を超えた場合|東京リージョンの場合|

### GuardDuty 保護プラン
| | 料金| 単位 |補足|
|:-----------|:------------|:------------|:------------|
| CloudTrail・S3 データイベント分析| 1.04USD/100万イベント<br>0.52USD/100万イベント<br>0.26USD/100万イベント | 最初の 5 億件のイベント/月<br>次の 45 億イベント/月<br>50 億を超えるイベント/月|東京リージョンの場合|
| EKS 監査ログ| 2.48USD/100万イベント<br>1.24USD/100万イベント<br>0.31USD/100万イベント | 最初の 1 億件のイベント/月<br>次の 1 億イベント/月<br>2 億を超えるイベント/月|東京リージョンの場合|
| EKS ランタイムモニタリング| 2.00USD/vCPU<br>1.00USDvCPU<br>0.33USDvCPU | 最初の 500 個の vCPU /月 <br>次の 4,500 個の vCPU /月<br>5,000 個以上の vCPU /月|-|
| ECS ランタイムモニタリング| 2.00USD/vCPU<br>1.00USDvCPU<br>0.33USDvCPU | 最初の 500 個の vCPU /月 <br>次の 4,500 個の vCPU /月<br>5,000 個以上の vCPU /月|-|
| EC2 ランタイムモニタリング| 2.00USD/vCPU<br>1.00USDvCPU<br>0.33USDvCPU | 最初の 500 個の vCPU /月 <br>次の 4,500 個の vCPU /月<br>5,000 個以上の vCPU /月|-|
| データボリュームスキャン分析|0.05USD/GB| GB /月|東京リージョンの場合|
| S3 オブジェクトスキャン分析| 0.79USD/GB<br>0.282USD/1,000 個のオブジェクト | GB /月<br>評価されるオブジェクト数/月|東京リージョンの場合|
|RDS イベント分析| 1.33USD/vCPU<br>0.33USD/ACU | vCPU /月 (プロビジョンド RDS インスタンスの場合)<br>ACU /月 (Aurora サーバーレス v2 インスタンスの場合)|東京リージョンの場合|
| ネットワークアクティビティログ分析| 1.18USD/GB<br>0.59USD/GB<br>0.29USD/GB<br>0.17USD/GB |最初の 500 GB/月<br>次の 2,000 GB/月<br>次の 7,500 GB/月<br>10,000 GB/月を超えた場合|東京リージョンの場合|



:::note info
30 日間の無料トライアルが利用できる。
無料トライアル中はすべての機能セットと検出の利用が可能。
:::

## その他
### 1.セキュリティの検出結果の利用期間
GuardDuty コンソールおよび API を通じて 90 日間保持および利用できる。
90 日経過した後、検出結果は破棄される。


### 2.GuardDuty の検出結果の形式
JSON形式

### 3.検出結果の集約
以下のパターンで集約が可能。
- EventBridge を使用して、リージョン間で GuardDuty が生成したセキュリティ検出結果を集約する。
- 検出結果を S3 などにプッシュして検出結果を集約する。

:::note info
検出結果を Security Hub に送信し、クロスリージョン集約機能を利用することもできる。
:::