GuardDuty 検知対応を DevOps Agent で効率化しようとしている話 #opsmethod 登壇資料
2026/09/04 に開催された 勉強会 opsmethod #3 「運用 × セキュリティ」 にて 「 GuardDuty 検知対応を DevOps Agent で効率化しようとしている話 」 というタイトルで発表しました。
来ていただいたみなさま、ありがとうございます！
発表で用いたスライドと内容をこのブログで共有します。
スライド
以降はスライドの内容紹介です。
話す内容
GuardDuty の検知対応を、AWS DevOps Agent に手伝わせてみた 話です。 検知を起点に自動で初期調査が走る仕組みを作りました。
GuardDuty 検知を起点に DevOps Agent の調査が走り、結果が Slack に届くまでの全体像
GuardDuty と検知運用について
Amazon GuardDuty
AWSの脅威検知サービスです。 証跡やネットワークログから不審なアクティビディを検知してくれます。
CloudTrail や DNS などのログを継続的に分析し、脅威を検知する
検知後の対応フロー
「調査」部分をより速く、誰がやっても同じ水準に近づけるために DevOps Agent を試しました。
AWS DevOps Agent とは
AWS DevOps Agent
AWSが提供するマネージドなAIオペレーションエージェントです。
CloudWatchアラームや監視ツールからのアラートを起点に、 ログやメトリクス、構成情報を横断して調べ、 何が起きているかの見立てと対応候補を出します。
動作は原則読み取り専用に限定されており、リソースを変更することはありません。
※ 最近 承認付きでリソース更新を実施できる機能が追加されました
主要な用語や機能
| 用語/機能 | ひとこと説明 |
|---|---|
| エージェントスペース | DevOps Agent が動作する論理コンテナ/境界 |
| Webアプリ | エージェントを操作する専用のWeb画面 |
| Webアプリ > チャット | 自然言語でインフラの状況を問い合わせる |
| Webアプリ > インシデント | 調査を作成し、結果と対応案を確認する |
| Webアプリ > 改善機能 | 再発防止に向けた改善提案を確認する |
| Webアプリ > トポロジー | リソースと関係性を可視化した構成図 |
チャット画面のサンプル
DevOps Agent の Web アプリ。チャットでインフラの状況を問い合わせられる
どんな仕組みを作ったのか
構成図
GuardDuty 検知を起点に、自動でDevOps Agent 調査が走る仕組みを作りました。
セキュリティ集約アカウントで Findings を受け取り、Lambda から調査を起動する
スキルの活用
調査手順と出力形式を揃えるためにスキルを使っています。
調査手順と出力形式を記述したスキル guardduty-finding-triage
Slack連携
Slack連携すると、 調査結果がチャンネルに投下されます。
調査開始と調査結果がスレッドに投稿される
おわりに/思ったこと
良い感じのサマリを出してくれます！ Finding Type の意味、推定される状況、推奨アクションが構造化されて届くため、 トリアージの初動調査を ある程度楽にしてくれていると感じました。
ただ、初動調査を長く対応している人からすると 「 調査結果は助かるが、正直それは知っていた 」という内容も少なくありません。 初動調査の時間短縮だけを価値と見るなら、 DevOps Agent 導入効果はそこまで大きくないという評価にもなり得ます。
大事なのは、 担当者の頭の中にあった調査フロー/判断基準を文書として残していく ことだと感じました。 Agent Skill を書くには「どういう手順で調べているか」「どのパターンは誤検知か」を 言語化しなければならず、 その過程で暗黙知が形式知になります。
形式知にするためのきっかけ作り としても、 DevOps Agent は有用だと思います。
