📌 結論：GuardDutyで守る2つの重要リソース
GuardDutyはAWSの「24時間監視する警備会社」。EKSとRDSを追加で守れます！
「不審な動き」を検出
🏦 銀行の例：
共用スペースの監視カメラ
（廊下・エレベーターの監視）
「不正アクセス」を検出
🏦 銀行の例：
金庫室の入退室管理
（誰がいつ金庫に入ったか）
🏦 銀行のセキュリティシステムで理解しよう！
（廊下・エレベーター）
多くの人（Pod）が行き来する場所
不審な行動を監視
（貴重品保管エリア）
重要なデータ（お金）を保管
入退室を厳重に監視
💡 ポイント：GuardDutyは基本機能だけでも強力ですが、
EKS ProtectionとRDS Protectionを有効化すると、
より専門的な監視（コンテナ・データベース特化）が可能に！
☸️ EKS Protection とは？
- 廊下を深夜に徘徊する不審者
- 他人の部屋のドアを開けようとする人
- 普段来ない人が機械室に入ろうとする
- 管理人室のパスワードを推測する人
- 匿名ユーザーからの不審なAPI呼び出し
- 他のPodのSecretを読み取ろうとする
- 本来アクセスしないNamespaceへのアクセス
- Kubernetes APIへのブルートフォース攻撃
🔍 EKS Protectionが検出する脅威
例：一般社員が社長室の鍵を複製しようとする
例：全部屋のドアを順番にノックして回る
例：他人の社員証をこっそりコピーする
例：会社の電気を使って私的に機械を動かす
🗄️ RDS Protection とは？
- ✓ 本人確認（認証情報）
- ✓ 来訪履歴の確認
- ✓ アクセス元の確認
- ✓ 行動パターンの分析
（金庫室）
🔍 RDS Protectionが検出する脅威
例：金庫のダイヤルを片っ端から回す泥棒
例：いつも東京にいる行員が突然海外からアクセス
例：変装して身元を隠した人物が金庫室に近づく
例：普段1件しか開けない行員が全金庫を開けようとする
📝 対応データベース：
Aurora MySQL / Aurora PostgreSQL / RDS for MySQL / RDS for PostgreSQL
🚀 有効化手順（3ステップ）
EKS Runtime Monitoringも同時に有効化推奨。
対象のRDS/Auroraインスタンスが自動的に監視開始。
💡 Organizations環境での一括有効化
⚡ 脅威検出〜対応のフロー
📤 検出後の自動対応オプション
📊 EKS Protection vs RDS Protection 比較表
| 比較項目 | ☸️ EKS Protection | 🗄️ RDS Protection |
|---|---|---|
| 🎯 監視対象 | EKSクラスター コンテナ環境 |
RDS/Aurora データベース |
| 📊 分析データ | Kubernetes監査ログ ランタイムイベント |
RDSログインアクティビティ （成功/失敗） |
| 😈 主な検出脅威 | 特権エスカレーション 不正なPod活動 |
ブルートフォース攻撃 異常なログイン |
| 🏦 銀行のたとえ | 共用スペースの監視 （廊下・エレベーター） |
金庫室の入退室管理 （誰がいつ入ったか） |
| ⚙️ 追加設定 | Runtime Monitoring有効化 （推奨） |
RDS拡張モニタリング （不要） |
| 💰 課金 | 監査ログ量ベース + Runtime Monitoring |
RDSログイン試行数ベース |
💰 料金の考え方
💡 30日間の無料トライアルあり
💡 30日間の無料トライアルあり
📊 コスト見積もり：GuardDutyコンソールの「使用状況」タブで
無料トライアル中に実際のコストを確認できます！
❓ よくある質問
基本GuardDuty: VPCフローログ、CloudTrail、DNSログを分析
EKS Protection: Kubernetes APIの監査ログを分析
RDS Protection: データベースログインアクティビティを分析
銀行の例：基本GuardDutyは「銀行の外周監視」、EKS/RDS Protectionは「内部の専門監視」のようなものです。
EKS監査ログ: Kubernetes APIへのリクエストを分析
Runtime Monitoring: Pod内のプロセス・ファイル操作を監視
銀行の例：監査ログは「ドアの開閉記録」、Runtime Monitoringは「部屋の中で何をしているか」を監視するイメージです。
EKS: 既存クラスターに自動適用
RDS: 既存インスタンス（Aurora/RDS MySQL/PostgreSQL）に自動適用
特別な設定変更やエージェントのインストールは不要です。
例1: 高重要度のFinding → Slackに即座に通知
例2: 不正なIPからのアクセス → Security Groupで自動ブロック
例3: 侵害されたPod → 自動でisolation
Security Hubと連携すると、より高度な自動修復が可能です。
🎓 まとめ
不審な活動を検出
🏦 共用スペースの監視
不正アクセスを検出
🏦 金庫室の入退室管理
24時間監視する警備会社
🏦 銀行のセキュリティシステム