Amazon GuardDutyの検出結果サンプルの生成を実行したら、AWS DevOps Agentで200ドルの課金が発生した話
はじめに
みなさん、GuardDuty の検出結果サンプルの生成（CreateSampleFindings） を使ったことはあるでしょうか。テスト用のサンプル Finding を一括生成できる便利な API です。
私は先日、GuardDuty AI Protection のプレビュー機能を試す記事を書いていました。その際、ふと「サンプル Finding にも新しい Finding Type が追加されているのかな」と気になり、何気なく実行しました。
大体察しがつくと思いますが、これが引き金になって AWS DevOps Agent で約 200 ドルの課金が発生してしまいました。
事の発端
そもそもの話、私は少し前以下の記事を見て、AWS DevOps Agent と GuardDuty を連携させる検証をしていました。
GuardDuty の Finding を EventBridge 経由で Lambda に渡し、DevOps Agent の Webhook を叩いて自動調査させる構成です。
検証が終わったら、当然 EventBridge ルールや Lambda 関数などのリソースは削除するべきなのですが、恥ずかしながらこれを放置していました。
何が起きたか
放置していたことをすっかり忘れたまま、先日 GuardDuty AI Protection の記事を書いていました。その最中に、AWS CLI から Finding Type を指定せずに CreateSampleFindings を実行してしまいました。
> aws guardduty create-sample-findings --detector-id $DETECTOR_ID
この API ですが、Finding Type を指定すると1件だけ対象に作成できるのですが、指定しないと全てのサンプルを作成します。
今回 Finding Type を指定しなかったため、GuardDuty が利用可能なサンプル Finding をまとめて生成しました。
そのため放置していた EventBridge ルールが、サンプル Finding にもきっちり反応してしまい、406 件すべてが DevOps Agent に流れ込んでしまいました。
EventBridge ルールは単純に GuardDuty のイベントを取得するルールにしていました。
{
"source": ["aws.guardduty"],
"detail-type": ["GuardDuty Finding"]
}
このパターンは source と detail-type しか条件にしておらず、severity や Finding Type、サンプルかどうかの判定がありません。そのため、EventBridge へ配信された GuardDuty Finding イベントはすべて Lambda に転送されていました。
Lambda 側も検証用だったためレート制限やサンプル除外、同時実行数の制限がなく、受け取った Finding をそのまま DevOps Agent の Webhook へ POST する作りになっていました。
結果
全てのイベントが DevOps Agent に流れた結果、その調査の実行時間分しっかりと課金が発生していました。
Cost Explorer で確認したところ、以下の内訳になっています。
| Usage Type | Operation | 使用時間 | 課金額 |
|---|---|---|---|
| APN1-investigation | TRIAGE | 約0.53時間 | 約16ドル |
| APN1-investigation | OPS1 | 約6.34時間 | 約190ドル |
| 合計 | 約6.87時間 | 約200ドル |
実質単価は 30 ドル/時間で、406 件の Finding に対して TRIAGE と OPS1(Investigation)が積み上がった結果です。
件数が多すぎたので順次調査が行われた結果、最終的に6時間もの調査をさせてしまいました。
しっかりと調査件数が406件と記録されています。
サンプルイベントとはいえ、しっかりと調査してくれた結果ですね…
調査内容を見ると、サンプルイベントであることを特定してくれていました。
まとめ
検証用に作ったリソースは、片付けるまでが検証だと痛感しました。EventBridge ルールをひとつ消し忘れただけで、思わぬところから課金が発生することもあります。
AWS DevOps Agent や AI エージェント系のサービスは便利な反面、イベント駆動で自動的に有償の調査が走る仕組みも多いです。同じように検証している方は、フィルタとレート制限、そして後片付けを忘れないようにしましょう。
同じような失敗をしないよう、ぜひみなさんも検証用のリソースが残っていないか確認してみてください。
以上、鈴木純がお送りしました。
