6.4. 対応

EventBridge ルールの確認

  1. EventBridge コンソール（us-west-2）に移動します。左側のナビゲーションで、[イベント]セクションの ルール をクリックします。
  2. 事前に設定されたルール名の GuardDuty-Event-S3-Stealth-Policy をクリックします。
  3. [ターゲット]セクションの下に、SNS トピックのルールが表示されます。この脅威を修復するため のLambda 関数を設定していません。AWS Config マネージドルール を使用して自動の修復をしているからです。
  4. 入力トランスフォーマーを確認してください。この設定をどのように変更して、SNS電子メールで必要な追加データを取得しますか？

GuardDutyは、その検出結果を Security Hub（有効になっている場合）に送信することもできます。Security Hub はさまざまな AWS サービスおよびパートナーサービスからの検出結果を集約するのに役立ちます。その後、Security Hub を使用してカスタムアクションを実行できます。カスタムアクションは、EventBridge ルールを使用して、チケット起票、チャット、セキュリティ情報およびイベント管理システム（SIEM）、セキュリティオーケストレーション自動化および応答（SOAR）、インシデント管理ツール、またはカスタム修復プレイブック等に検出結果を送信できます。

手動による S3 バケットの修復

バケットの所有者からバケット設定が意図せず変更されたことを確認できたため、変更を元に戻します。

  1. AWS S3 コンソールに移動します。
  2. バケットリストの、guardduty-example-finance をクリックします。
  3. [プロパティ]タブをクリックし、[サーバーアクセスのログ記録]まで下にスクロールして、編集をクリック、有効にするにチェックを入れます
  4. 次に、S3 の参照ボタンをクリックし、guardduty-example-log を選択して、パスを選択 をクリックします。
  5. 最後に 変更の保存 ボタンをクリックすると、サーバーアクセスログが有効になります。
  6. バケットを再度、非公開にするには、アクセス許可タブをクリックし、[ブロックパブリックアクセス (バケット設定)] の編集をクリックします。
  7. パブリックアクセスをすべて ブロックのチェックボックスをオンにしてから、[変更の保存]をクリックし、表示されるダイアログボックスに「確認」と入力します。これで、バケットが再び非公開になりました。

ユーザーが意図しないバケット公開から保護するためのもう1つのオプションは、サービスコントロールポリシー (SCP) を追加することです。SCP は、アカウントの管理者が IAM ユーザーおよびアカウント内のロールに委任できるアクションにガードレールを定義するか、制限を設定します。

侵害されたIAM ユーザーの修復

セキュリティチームがこのユーザーの以前のアクティビティを分析して侵害の範囲をよりよく理解している間、[IAM クレデンシャルの侵害] シナリオで行ったように、不正なアクションを防ぐために、ユーザーに関連付けられたアクセスキーを無効にします。

  1. AWS IAM コンソールに移動します。
  2. 左側のナビゲーションでユーザーをクリックします。
  3. GuardDuty の検出結果と通知メールで特定したユーザー GuardDuty-Example-Compromised2-Simulated をクリックします。
  4. 認証情報タブをクリックします。
  5. [アクセスキー]で、検出結果で特定したアクセスキー ID を見つけ、無効化をクリックしてから、ポップアップの 無効化ボタンをクリックします。

以上で、侵害の受けた S3 バケットと IAM ユーザーの修復が完了です。