翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
Amazon EC2 インスタンスでの Runtime Monitoring の仕組み
Amazon EC2 インスタンスは、 AWS 環境内のさまざまなタイプのアプリケーションやワークロードを実行できます。Runtime Monitoring を有効にして GuardDuty セキュリティエージェントを管理すると、GuardDuty は既存の Amazon EC2 インスタンスと潜在的な新しい Amazon EC2 インスタンスの脅威を検出するのに役立ちます。この機能は、Amazon ECS によって管理される Amazon EC2 インスタンスもサポートしています。
注記
Runtime Monitoring は、Amazon ECS マネージドインスタンスで実行されているアプリケーションをサポートしていません。
Runtime Monitoring を有効にすると、GuardDuty は Amazon EC2 インスタンス内の現在実行中のプロセスや新しいプロセスからのランタイムイベントを利用できるようになります。GuardDuty では、EC2 インスタンスから GuardDuty にランタイムイベントを送信するセキュリティエージェントが必要です。
Amazon EC2 インスタンスの場合、GuardDuty セキュリティエージェントはインスタンスレベルで動作します。アカウント内のすべての Amazon EC2 インスタンスまたは選択的な Amazon EC2 インスタンスをモニタリングするかどうかを決定できます。選択的なインスタンスを管理する場合は、これらのインスタンスにのみセキュリティエージェントが必要です。
GuardDuty は、Amazon ECS クラスター内の Amazon EC2 インスタンスで実行されている新しいタスクや既存のタスクからのランタイムイベントを消費することもできます。
GuardDuty セキュリティエージェントをインストールするために、Runtime Monitoring には次の 2 つのオプションがあります。
GuardDuty による自動エージェント設定を使用する (推奨)
GuardDuty がユーザーに代わって Amazon EC2 インスタンスにセキュリティエージェントをインストールできるようにする自動エージェント設定を使用します。GuardDuty は、セキュリティエージェントの更新も管理します。
デフォルトでは、GuardDuty はアカウント内のすべてのインスタンスにセキュリティエージェントをインストールします。GuardDuty で選択した EC2 インスタンスのみのセキュリティエージェントをインストールおよび管理する場合は、必要に応じて EC2 インスタンスに包含タグまたは除外タグを追加します。
アカウントに属するすべての Amazon EC2 インスタンスのランタイムイベントをモニタリングしたくない場合があります。限られた数のインスタンスのランタイムイベントをモニタリングする場合は、選択したインスタンスに包含タグを GuardDutyManaged:true として追加します。Amazon EC2 の自動エージェント設定が利用可能になったことから、EC2 インスタンスに包含タグ (GuardDutyManaged:true) がある場合、GuardDuty は自動エージェント設定を明示的に有効にしない場合でも、タグを優先し、選択したインスタンスのセキュリティエージェントを管理します。
一方、ランタイムイベントをモニタリングしたくない EC2 インスタンスが限られている場合は、選択したインスタンスに除外タグ (GuardDutyManaged:false) を追加します。GuardDuty は除外タグを優先し、それらの EC2 リソースに対してセキュリティエージェントのインストールまたは管理を行いません。
影響
AWS アカウント または組織で自動エージェント設定を使用する場合、GuardDuty がユーザーに代わって次の手順を実行することを許可します。
-
GuardDuty は、SSM マネージドであり、https://console.aws.amazon.com/systems-manager/
コンソールの [Fleet Manager] の下に表示されるすべての Amazon EC2 インスタンスに対して 1 つの SSM 関連付けを作成します。 -
自動エージェント設定が無効になっている包含タグの使用 – Runtime Monitoring を有効にした後、自動エージェント設定を有効にせず、Amazon EC2 インスタンスに包含タグを追加すると、GuardDuty がユーザーに代わってセキュリティエージェントを管理することを許可することになります。次に、SSM 関連付けは、包含タグ (
GuardDutyManaged:true) を持つ各インスタンスにセキュリティエージェントをインストールします。 -
自動エージェント設定を有効にした場合 - SSM 関連付けによって、アカウントに属するすべての EC2 インスタンスにセキュリティエージェントがインストールされます。
-
自動エージェント設定での除外タグの使用 – 自動エージェント設定を有効にする前に、Amazon EC2 インスタンスに除外タグを追加すると、この選択したインスタンスのセキュリティエージェントのインストールおよび管理を防止することを GuardDuty に対して許可することになります。
次に、自動エージェント設定を有効にすると、SSM 関連付けは、除外タグが付けられたインスタンスを除くすべての EC2 インスタンスにセキュリティエージェントをインストールおよび管理します。
-
GuardDuty は、VPC 内に終了またはシャットダウンされたインスタンス状態にない Linux EC2 インスタンスが少なくとも 1 つある限り、共有 VPC を含むすべての VPC に VPC エンドポイントを作成します。これには、一元化された VPC とスポーク VPC が含まれます。GuardDuty は、一元化された VPC のみの VPC エンドポイントの作成をサポートしていません。一元化された VPC の仕組みの詳細については、ホワイトペーパーの「インターフェイス VPC エンドポイント - スケーラブルで安全なマルチ VPC ネットワークインフラストラクチャの構築」を参照してください。 AWS AWS
さまざまなインスタンス状態の詳細については、「Amazon EC2 ユーザーガイド」のインスタンスのライフサイクルに関するページを参照してください。
GuardDuty はRuntime Monitoring で共有 VPC を使用するもサポートしています。組織ですべての前提条件が考慮されると AWS アカウント、GuardDuty は共有 VPC を使用してランタイムイベントを受信します。
注記
VPC エンドポイントの使用に追加コストはかかりません。
-
VPC エンドポイントと共に、GuardDuty は新しいセキュリティグループも作成します。インバウンド (Ingress) ルールは、セキュリティグループに関連付けられたリソースに到達することが許可されたトラフィックを制御します。GuardDuty は、リソースの VPC CIDR 範囲に一致するインバウンドルールを追加し、CIDR 範囲が変更されたときにそれに適応します。詳細については、「Amazon VPC ユーザーガイド」の「VPC CIDR range」を参照してください。
セキュリティエージェントの手動管理
Amazon EC2 のセキュリティエージェントを手動で管理する方法は 2 つあります。
-
で GuardDuty マネージドドキュメント AWS Systems Manager を使用して、すでに SSM マネージドされている Amazon EC2 インスタンスにセキュリティエージェントをインストールします。
新しい Amazon EC2 インスタンスを起動するときは、必ず SSM が有効になっていることを確認してください。
-
Amazon EC2 インスタンスが SSM マネージドであるかどうかに関係なく、RPM パッケージマネージャー (RPM) スクリプトを使用して、Amazon EC2 インスタンスにセキュリティエージェントをインストールします。
次のステップ
Amazon EC2 インスタンスをモニタリングするための Runtime Monitoring 設定を開始するには、「Amazon EC2 インスタンスサポートの前提条件」を参照してください。
