🚨 GuardDuty InstanceCredentialExfiltration

import boto3 import json from datetime import datetime def lambda_handler(event, context): """ GuardDuty InstanceCredentialExfiltration アラートの自動対応 """ iam = boto3.client('iam') ec2 = boto3.client('ec2') sns = boto3.client('sns') # GuardDutyの検出結果から情報を取得 finding = event['detail'] finding_type = finding['type'] instance_id = finding['resource']['instanceDetails']['instanceId'] role_name = finding['resource']['accessKeyDetails']['userName'] # 対象のアラートタイプか確認 if 'InstanceCredentialExfiltration' not in finding_type: return {'statusCode': 200, 'body': 'Not target finding type'} # 1. IAMロールのセッションを無効化 current_time = datetime.utcnow().strftime('%Y-%m-%dT%H:%M:%SZ') revoke_policy = { "Version": "2012-10-17", "Statement": [{ "Effect": "Deny", "Action": "*", "Resource": "*", "Condition": { "DateLessThan": {"aws:TokenIssueTime": current_time} } }] } iam.put_role_policy( RoleName=role_name, PolicyName='AutoRevokeOlderSessions', PolicyDocument=json.dumps(revoke_policy) ) # 2. EC2インスタンスを隔離（隔離用SGに変更） # 注: 事前に隔離用SGを作成しておく必要あり ec2.modify_instance_attribute( InstanceId=instance_id, Groups=['sg-isolation-xxxxxxxx'] # 隔離用SG ) # 3. SNSで通知 sns.publish( TopicArn='arn:aws:sns:ap-northeast-1:123456789012:security-alerts', Subject='🚨 [CRITICAL] EC2認証情報漏洩を検出・自動対応実行', Message=f""" GuardDutyが認証情報の外部使用を検出しました。 🔴 検出タイプ: {finding_type} 🖥️ インスタンスID: {instance_id} 🪪 IAMロール: {role_name} ✅ 自動対応を実行しました： 1. IAMロールの既存セッションを無効化 2. EC2インスタンスを隔離用SGに変更 ⚠️ 追加調査が必要です。CloudTrailを確認してください。 """ ) return { 'statusCode': 200, 'body': 'Auto-remediation completed' }

{ "source": ["aws.guardduty"], "detail-type": ["GuardDuty Finding"], "detail": { "type": [ {"prefix": "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration"} ], "severity": [{"numeric": [">=", 7]}] } }