GuardDutyの使い方｜有効化と検出結果の読み方・通知の設定

Amazon GuardDuty は、CloudTrail の管理イベント・VPC フローログ・DNS ログなどを AWS 側で分析し、不正アクセスや暗号資産のマイニング、認証情報の持ち出しといった脅威を「検出結果（finding）」として知らせるサービスです。 ログの収集やエージェントの設定なしに、有効にした時点から分析が始まります。

# いまのリージョンで有効にする（検出器を作る）
aws guardduty create-detector --enable --finding-publishing-frequency FIFTEEN_MINUTES

# 重要度 7 以上の検出結果を EventBridge でメールに送る
aws events put-rule --name guardduty-high \
  --event-pattern '{"source":["aws.guardduty"],"detail-type":["GuardDuty Finding"],"detail":{"severity":[{"numeric":[">=",7]}]}}'

確認環境：AWS CLI 1.46.1・boto3 1.43.112・Python 3.11（Linux）。moto 5.2.4 で、create-detector（保護プランの --features 付き）・get-detector・create-filter（抑制ルール）・get-filter・enable-organization-admin-account を動かしました。EventBridge のイベントパターンは、moto でルールと SQS のターゲットを作り、重要度・タイプの違う GuardDuty 形式のイベントを送って、どれが届くかを確かめています。Slack に送る Lambda のコードは、擬似の Webhook を立てて送信内容を確かめました。保護プラン・タイプ名の決まり・重要度・上限・料金は、GuardDuty のドキュメントと料金ページで確認しています（確認日 2026年10月13日）。

GuardDuty が見ているもの

この3つが「基本のデータソース」で、有効にすると自動で分析が始まります。追加の保護プランを有効にすると、S3・EKS・RDS・Lambda・実行時の挙動なども対象になります。

保護プランの一覧

有効にする

1つのアカウント（CLI）

aws guardduty create-detector --enable \
  --finding-publishing-frequency FIFTEEN_MINUTES \
  --features '[
    {"Name":"S3_DATA_EVENTS","Status":"ENABLED"},
    {"Name":"EKS_AUDIT_LOGS","Status":"ENABLED"},
    {"Name":"EBS_MALWARE_PROTECTION","Status":"ENABLED"},
    {"Name":"RDS_LOGIN_EVENTS","Status":"ENABLED"},
    {"Name":"LAMBDA_NETWORK_LOGS","Status":"ENABLED"},
    {"Name":"RUNTIME_MONITORING","Status":"ENABLED",
     "AdditionalConfiguration":[{"Name":"ECS_FARGATE_AGENT_MANAGEMENT","Status":"ENABLED"}]}
  ]'

aws guardduty list-detectors
aws guardduty get-detector --detector-id <検出器ID> \
  --query '{Status:Status,Freq:FindingPublishingFrequency,Features:Features[].[Name,Status]}'

moto に向けて動かした get-detector の結果です。

{
  "Status": "ENABLED",
  "Freq": "FIFTEEN_MINUTES",
  "Features": [["S3_DATA_EVENTS", "ENABLED"], ["RUNTIME_MONITORING", "ENABLED"]]
}

更新の通知が 6 時間おきだと、続いている攻撃に気づくのが遅れます。15 分にしておくと、同じ検出結果の count が増えたことを早く知れます。

全リージョンで有効にする

GuardDuty はリージョンごとのサービスです。 普段使っていないリージョンで不正にリソースを作られても気づけるよう、有効なすべてのリージョンで検出器を作ります。

for r in $(aws ec2 describe-regions --query 'Regions[].RegionName' --output text); do
  if [ -z "$(aws guardduty list-detectors --region "$r" --query 'DetectorIds[0]' --output text | grep -v None)" ]; then
    aws guardduty create-detector --enable --finding-publishing-frequency FIFTEEN_MINUTES --region "$r" \
      --query DetectorId --output text | sed "s/^/$r /"
  fi
done

検出器は 1 リージョンに 1 つです（上限 1、引き上げ不可）。 上のスクリプトは、すでにあるリージョンを飛ばします。moto 5.2.4 では同じリージョンに2つ目の検出器が作れたため、テストでこの上限は確かめられません。

Organizations で全アカウントに広げる

セキュリティ専用のアカウント（監査用アカウント）を委任管理者にし、検出結果をそこに集めるのが一般的な形です。Organizations の SCP で GuardDuty を止められないようにする書き方は、関連記事「AWS OrganizationsのSCPの書き方｜例文とテンプレート」で扱っています。

検出結果のタイプ名の読み方

タイプ名は ThreatPurpose:ResourceTypeAffected/ThreatFamilyName.DetectionMechanism!Artifact の形です。

CryptoCurrency:EC2/BitcoinTool.B!DNS
└──目的──────┘ └─┘ └─脅威の名前┘└┘└─┘
               対象  (BitcoinTool) 変種 DNS で見つかった

ThreatPurpose の一覧

Extended Threat Detection の検出結果は、AttackSequence:IAM/CompromisedCredentials のように AttackSequence で始まります。

よく見る検出結果と、まずやること

誰がどの操作をしたかは CloudTrail で追います。関連記事「CloudTrailで誰が操作したか調べる｜lookup-eventsとAthena」で扱っています。

重要度

検出結果は 90 日保存されます（上限、変更不可）。それより長く残すなら、S3 へのエクスポート（「検出結果のエクスポート」の設定）を使います。

CLI で検出結果を見る

D=$(aws guardduty list-detectors --query 'DetectorIds[0]' --output text)

# 重要度 7 以上、アーカイブしていないもの
IDS=$(aws guardduty list-findings --detector-id "$D" \
  --finding-criteria '{"Criterion":{"severity":{"Gte":7},"service.archived":{"Eq":["false"]}}}' \
  --query 'FindingIds' --output text)

aws guardduty get-findings --detector-id "$D" --finding-ids $IDS \
  --query 'Findings[].[Severity,Type,Resource.ResourceType,Service.Count,UpdatedAt]' --output table

# 重要度ごとの件数
aws guardduty get-findings-statistics --detector-id "$D" --finding-statistic-types COUNT_BY_SEVERITY

# 試しの検出結果を作る（通知のテストに使う）
aws guardduty create-sample-findings --detector-id "$D" \
  --finding-types Recon:EC2/PortProbeUnprotectedPort CryptoCurrency:EC2/BitcoinTool.B!DNS

moto 5.2.4 では、list-findings・get-findings-statistics・create-sample-findings は Not yet implemented でした。検出結果を扱うコードのテストには、Stubber などで応答を用意します。

通知：EventBridge でメール・Slack に送る

GuardDuty は検出結果を、そのリージョンの EventBridge（default イベントバス）にイベントとして送ります。source は aws.guardduty、detail-type は GuardDuty Finding です。

イベントパターン：重要度で絞る

{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": { "severity": [{ "numeric": [">=", 7] }] }
}

moto でルールを3つ作り、重要度とタイプの違うイベントを6件送ったときに届いたものです。

値を並べる書き方は、その値と一致したものだけが届きます。 ドキュメントのコンソール用の例では、4 以上を拾うために 4, 4.0, 4.1, …, 10, 10.0 と値を全部並べています。numeric の範囲を使うと、1行で書けます。

メールで受け取る（SNS）

REGION=ap-northeast-1
ACCOUNT=$(aws sts get-caller-identity --query Account --output text)
TOPIC=$(aws sns create-topic --name guardduty-alerts --query TopicArn --output text)
aws sns subscribe --topic-arn "$TOPIC" --protocol email --notification-endpoint security@example.com

# EventBridge からの発行を許すトピックポリシー
aws sns set-topic-attributes --topic-arn "$TOPIC" --attribute-name Policy --attribute-value "{
  \"Version\":\"2012-10-17\",
  \"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"events.amazonaws.com\"},
    \"Action\":\"sns:Publish\",\"Resource\":\"$TOPIC\",
    \"Condition\":{\"ArnEquals\":{\"aws:SourceArn\":\"arn:aws:events:$REGION:$ACCOUNT:rule/guardduty-high\"}}}]}"

aws events put-rule --name guardduty-high \
  --event-pattern '{"source":["aws.guardduty"],"detail-type":["GuardDuty Finding"],"detail":{"severity":[{"numeric":[">=",7]}]}}'

cat > targets.json <<'EOF'
[{
  "Id": "sns",
  "Arn": "arn:aws:sns:ap-northeast-1:123456789012:guardduty-alerts",
  "InputTransformer": {
    "InputPathsMap": {
      "severity": "$.detail.severity", "Account_ID": "$.detail.accountId",
      "Finding_ID": "$.detail.id", "Finding_Type": "$.detail.type",
      "region": "$.region", "Finding_Description": "$.detail.description"
    },
    "InputTemplate": "{\"message\":\"You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region.\\n\\nFinding Description:\\n<Finding_Description>.\\n\\nFor more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>\"}"
  }
}]
EOF
aws events put-targets --rule guardduty-high --targets file://targets.json

InputTemplate はドキュメントの例です。ドキュメントでは、テンプレートを1行の JSON にし、message のようなキーで包むよう注意されています。 description に改行などの制御文字が入ることがあり、そのまま埋め込むと JSON が壊れて、通知が届かなくなるためです。SNS の使い方は、関連記事「Amazon SNSの使い方 CLI・boto3とSQSファンアウト早見表」で扱っています。

Slack に送る（Lambda）

# slack_notify.py（EventBridge のルールのターゲットにする Lambda）
import json, os, urllib.request

WEBHOOK_URL = os.environ["SLACK_WEBHOOK_URL"]

def level(sev: float) -> str:
    if sev >= 9.0: return ":rotating_light: Critical"
    if sev >= 7.0: return ":red_circle: High"
    if sev >= 4.0: return ":large_orange_circle: Medium"
    return ":white_circle: Low"

def lambda_handler(event, context):
    d = event["detail"]
    region = event["region"]
    url = (f"https://console.aws.amazon.com/guardduty/home?region={region}"
           f"#/findings?search=id%3D{d['id']}")
    text = (f"*GuardDuty {level(float(d['severity']))} ({d['severity']})*\n"
            f"*{d['type']}*\n{d.get('title', '')}\n"
            f"Account: {d['accountId']} / Region: {region} / Count: {d.get('service', {}).get('count', 1)}\n"
            f"<{url}|コンソールで開く>")
    req = urllib.request.Request(WEBHOOK_URL, data=json.dumps({"text": text}).encode(),
                                 headers={"Content-Type": "application/json"})
    with urllib.request.urlopen(req, timeout=5) as res:
        return {"status": res.status}

擬似の Webhook で受けた本文です（title は試しに入れた値）。

*GuardDuty :red_circle: High (8)*
*UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.OutsideAWS*
Credentials for instance role ec2-app-role used from external IP address.
Account: 123456789012 / Region: ap-northeast-1 / Count: 3
<https://console.aws.amazon.com/guardduty/home?region=ap-northeast-1#/findings?search=id%3D16afba5c5c43e07c9e3e5e2e544e95df|コンソールで開く>

aws lambda add-permission --function-name guardduty-slack \
  --statement-id events-guardduty-high --action lambda:InvokeFunction \
  --principal events.amazonaws.com \
  --source-arn arn:aws:events:ap-northeast-1:123456789012:rule/guardduty-high
aws events put-targets --rule guardduty-high \
  --targets Id=slack,Arn=arn:aws:lambda:ap-northeast-1:123456789012:function:guardduty-slack

Webhook の URL は秘密の値なので、環境変数より Secrets Manager や SSM パラメータストアに置く方が安全です。Webhook の基本は、関連記事「GASでSlack・Google Chatに通知｜Webhookの書き方」でも扱っています。コードを書かずに送るなら、SNS トピックを Amazon Q Developer in chat applications（旧 AWS Chatbot）につなぐ方法もあります。

抑制ルール：ノイズを減らす

抑制ルールは、条件に合う新しい検出結果を自動でアーカイブするフィルターです。 CLI では create-filter --action ARCHIVE で作ります。

cat > criteria.json <<'EOF'
{"Criterion": {
  "type": {"Eq": ["Recon:EC2/PortProbeUnprotectedPort"]},
  "resource.instanceDetails.tags.key": {"Eq": ["public-web"]}
}}
EOF

aws guardduty create-filter --detector-id "$D" \
  --name suppress-portprobe-public-web --action ARCHIVE --rank 1 \
  --description "intentionally public web servers" \
  --finding-criteria file://criteria.json

aws guardduty get-filter --detector-id "$D" --filter-name suppress-portprobe-public-web

moto で作った抑制ルールを get-filter した結果です。

{
  "Name": "suppress-portprobe-public-web",
  "Description": "intentionally public web servers",
  "Action": "ARCHIVE",
  "Rank": 1,
  "FindingCriteria": {"Criterion": {
    "type": {"Eq": ["Recon:EC2/PortProbeUnprotectedPort"]},
    "resource.instanceDetails.tags.key": {"Eq": ["public-web"]}}}
}

名前を2文字にすると、送る前に Invalid length for parameter Name, value: 2, valid min length: 3 で止まりました（3文字以上）。

ドキュメントの例です。

タイプだけで抑えると、本物の攻撃も見えなくなります。 タグ・AMI・IP など、誤検知の原因を表す条件と組み合わせます。

料金の考え方

GuardDuty の料金は、分析した量に比例します（料金ページ、米国東部の例）。

無料期間中に「使用状況」で見積もりを見て、保護プランごとに続けるか決める流れが取りやすい方法です。料金の確かめ方は、関連記事「AWSの料金を確認する方法｜Cost Explorer・CLI・予算アラート」で扱っています。

よくある質問

Q. CloudTrail の証跡を作っていなくても動きますか。 A. 動きます。ドキュメントでは、GuardDuty を有効にすると、CloudTrail の管理イベント・VPC フローログ・DNS ログを自動で取り込み始めると説明されています。証跡やフローログを自分で作る作業はありません。

Q. Security Hub と何が違いますか。 A. GuardDuty は脅威（攻撃の兆候）を見つけるサービスです。Security Hub は GuardDuty を含む複数のサービスの結果を集め、設定がベストプラクティスに合っているかも調べます。両方を使うと、GuardDuty の検出結果が Security Hub にも集まります。

Q. 検出結果をアーカイブすると、どうなりますか。 A. 一覧の「現在」から消え、「アーカイブ済み」に移ります。対応が終わったものはアーカイブし、同じことが続くなら抑制ルールを考えます。

Q. GuardDuty を止めるとデータはどうなりますか。 A. 「一時停止（suspend）」は分析を止め、検出結果は残ります。「無効化（disable）」は検出器を消し、検出結果も消えます。止められないよう、SCP で guardduty:DeleteDetector などを拒否しておく方法があります。

まとめ

• create-detector --enable で有効化。リージョンごとなので、使っていないリージョンも有効にする
• 複数アカウントは Organizations の委任管理者（全リージョン同じアカウント）と --auto-enable-organization-members ALL
• タイプ名は 目的:リソース/脅威の名前.見つけ方!資源。重要度は Critical 9.0〜、High 7.0〜、Medium 4.0〜、Low 1.0〜
• 通知は EventBridge の aws.guardduty／GuardDuty Finding。重要度は numeric で範囲を書く
• 抑制ルールは create-filter --action ARCHIVE。抑えた検出結果は EventBridge に送られないため、条件はタイプ＋タグ・AMI などで狭く
• 料金は分析した量の従量。30 日の無料期間に「使用状況」で見積もりを見る

参考・出典

確認日はいずれも 2026年10月13日です。

• Amazon GuardDuty ユーザーガイド「What is Amazon GuardDuty?」：https://docs.aws.amazon.com/guardduty/latest/ug/what-is-guardduty.html
• Amazon GuardDuty ユーザーガイド「GuardDuty finding format」：https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_finding-format.html
• Amazon GuardDuty ユーザーガイド「Severity levels of GuardDuty findings」：https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_findings-severity.html
• Amazon GuardDuty ユーザーガイド「GuardDuty active finding types」：https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_finding-types-active.html
• Amazon GuardDuty ユーザーガイド「Processing GuardDuty findings with Amazon EventBridge」：https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_findings_eventbridge.html
• Amazon GuardDuty ユーザーガイド「Suppression rules」：https://docs.aws.amazon.com/guardduty/latest/ug/findings_suppression-rule.html
• Amazon GuardDuty ユーザーガイド「Managing GuardDuty accounts with AWS Organizations」：https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_organizations.html
• Amazon GuardDuty ユーザーガイド「GuardDuty quotas」：https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_limits.html
• Amazon GuardDuty API リファレンス「DetectorFeatureConfiguration」：https://docs.aws.amazon.com/guardduty/latest/APIReference/API_DetectorFeatureConfiguration.html
• Amazon GuardDuty の料金：https://aws.amazon.com/guardduty/pricing/

株式会社RJC ― SI事業・SES事業・AI駆動開発。RJCは一緒に成長を楽しめる会社です。