4.4. 対応

EventBridge ルールの確認

  1. EventBridge コンソール（us-west-2）に移動します。左側のナビゲーションで、[イベント]セクションの ルール をクリックします。
  2. 事前に設定されたルール名の GuardDuty-Event-IAMUser-MaliciousIPCaller をクリックします。
  3. [ターゲット]セクションの下に、SNS トピックの2つのエントリが表示されます。シナリオ「EC2 インスタンスの侵害」と違い、セキュリティチームによる決定で、この特定のタイプの検出結果を手動で調査して修復することであったため、この脅威を修復するため のLambda 関数を設定していません。

GuardDuty は EventBridge と統合されているため、完全または部分的な自動修復ワークフローを柔軟に導入できます。これらは、自身で構築したカスタム Lambda 関数、またはパートナーソリューションである可能性があります。他のAWSリソースをターゲットに設定することもできます。System Mangerのランコマンドや Step Function のステートマシンなどを設定できます。一部の検出結果タイプは、通知のワークフローのみを設定して、修復は手動にする場合があります。ワークフローを設計するときは、実行中のワークロードに対して設定予定の修復がどのような影響を与える可能性があるかを確認することが重要です。

手動による修復

この検出結果の自動修復を設定しなかったため、手動で修復する必要があります。セキュリティチームがこのユーザーの以前のアクティビティを分析して侵害の範囲を特定している間に、不正なアクションを防ぐために、ユーザーに関連付けられたアクセスキーを無効にする必要があります。

  1. AWS IAM コンソールに移動します。
  2. 左側のナビゲーションでユーザーをクリックします。
  3. GuardDuty の検出結果と通知メールで特定したユーザー GuardDuty-Example-Compromised-Simulated をクリックします。
  4. 認証情報タブをクリックします。
  5. [アクセスキー]で、検出結果で特定したアクセスキー ID を見つけ、無効化をクリックしてから、ポップアップの 無効化ボタンをクリックします。

以上で、侵害の受けた IAM ユーザーを特定して、アクセスキーを手動で無効にする対応が完了です。