[登壇レポート]「GuardDuty RDS Protection について」という内容で登壇してきました #jawsug_asa

emi

2023.07.19

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

コーヒーが好きな emi です。

JAWS-UG朝会 #47 で「GuardDuty RDS Protection について」というタイトルで 20 分登壇してきました。
コーヒーが好きな私ですが、本筋からそれた余談も大好きです。余談が好評だったようで嬉しいです。

登壇資料

発表のダイジェスト

最初に GuardDuty についておさらいしました。GuardDuty は AWS 環境内の不審なアクティビティを検出するサービス、つまりふるまい検知です。

検出に特化したサービスなので、検出後の隔離や修正は利用者自身で実施いただく必要があります。

AWS のセキュリティサービスはたくさんありますが、似たサービスとして Amazon Inspector との比較を紹介しました。

GuardDuty RDS Protection は RDS への不審なログインを検知するサービスであり、クエリ発行そのものを検知する機能ではないことに注意してください。

RDS Protection で検出できる検出（finding）タイプはたくさんありますが、ざっくり分けると 3 種類です。

発表をお聞きいただいた方にも感じていただけたかと思いますが、RDS Protection で検出できる検出（finding）タイプの多くは「パブリック IP からの不審なアクセス」ですので、セキュリテイグループで適切な制限ができている、RDS がプライベートサブネットに配置されている場合はほぼ検出されないと言えるでしょう。

もし検出されてしまった後の対応をパターン分けしたところはお気に入りです。

監査ログをあらかじめ取得していただくことで何かあったときの影響範囲特定に役立つのですが、監査ログの取得はデータベース性能への影響があるそうです。
Aurora の監査ログ取得はパフォーマンスに与える影響を最小限に抑える工夫がされているそうなので、参考として AWS ブログを貼っておきます。

心配な場合は、監査ログを有効化する前に性能テストを実施されるとよいでしょう。

余談・補足

余談や補足が大好きなのですが、今回も息抜きパートとして盛り込みました。

GuardDuty という言葉の意味について調べました。
Guard は守り、監視、警護、守護などの意味があります。「ガードレール」や「ガーディアン」のガードです。
Duty は義務、任務、責務などの意味があります。「call of duty」というゲームがありますが、あれは「任務遂行」という意味ですね。
GuardDuty は「警備任務」「監視業務」という意味になります。ちょっとかっこいいですね。

また、検出タイプで登場する「Tor」についても補足しました。
Tor（The Onion Router）は匿名通信を可能にするソフトウェアです。
トラフィックを複数の中間ノードを経由してルーティングすることで、通信元を特定することを困難にします。
何層にも暗号化することで自身の前後のノードの情報しか得られない状態になっており、この何層にも暗号化する様子が玉ねぎのようであることから、The Onion Router と名付けられたそうです。

最近私が好きでよく言っている「セキュリティは攻撃 First！」という言葉も最後に紹介しました。
AWS Summit で聞いたパロアルトネットワークス CTO アジェイ・ミスラ氏の言葉ですが、セキュリティ対策はどんな攻撃があるのか知ることから始まる、という意味です。
今後みなさんが Tor を使うことが一生ないとしても、こういう攻撃があるということを知っていただくことが重要と思います。