Amazon GuardDuty にて ECS Fargate でセキュリティ上の脅威検出に対応 (Amazon GuardDuty ECS Runtime Monitoring)

この記事は公開されてから半年以上経過しています。情報が古い可能性がありますので、ご注意ください。

なぜ、本場のPanda ExpressとTaco Bellはこんなにも美味しいのか。
4年ぶりにre:Invent 2023に参加し、喜びを噛み締めております。

概要

先日発表されたAmazon GuardDuty ECS Runtime Monitoringのセッションが追加されていたので早速行ってきました。

実際に動作を確かめてみました!
Amazon GuardDuty ECS Runtime MonitoringでFargate環境で動作するマイニングソフトを検知してみた

機能概要
https://aws.amazon.com/jp/blogs/aws/introducing-amazon-guardduty-ecs-runtime-monitoring-including-aws-fargate/

ニュースリリース
https://aws.amazon.com/jp/about-aws/whats-new/2023/11/amazon-guardduty-ecs-runtime-monitoring-fargate/

セッション

参加してきたセッションは下記となります。
SEC239 - Introducing GuardDuty ECS Runtime Monitoring, including AWS Fargate

これまでのGuardDuty機能のおさらいから始まりました。

本Updateにて今年の3月からEKSのみで可能だった機能がECS(Fargate)でも可能となりました。

以前と比べた本機能の優位性の表/イメージ

  • VPC Flowlog/DNS logのみで検出する場合に比べて高速に脅威検出が可能
  • どのECS Cluster/Taskにて実行されているものか等々が明確に分かる

ThreatDetectionの種類

機能統合/内部の動作概要図

  • Organization統合されている
  • 既存タスクへの影響なし、eBPF Agentのため動作軽量

ECSタイプ別の関連リソース/動作イメージ

  • ECS on EC2での動作イメージ
  • Fargateでの動作イメージ

ポイント

  • Fargateの場合、既存のタスクのコンテナを監視するためのエージェントをインストール・設定・更新・管理する必要は無い
    • (既存コンテナに何かをインストールする必要はないが、サイドカーコンテナが立ち上がる)
  • すでに実行中のタスクのコンテナを監視する場合は、GuardDuty ECS ランタイム監視を有効にした後でタスクを停止して開始する必要あり
  • パフォーマンスにほとんど影響を与えないように設計されているが、Fargate タスクのサイジング計算で計画する必要あり
  • 自動エージェント管理を選択すると、GuardDuty はエージェントが GuardDuty API と通信できるようにするためのVPC エンドポイントも作成する
    • (リソース削除忘れに気を付ける)

引用元
https://aws.amazon.com/jp/blogs/aws/introducing-amazon-guardduty-ecs-runtime-monitoring-including-aws-fargate/

セッション内デモについて

サービスの有効化をOrganizationと統合されているのでそちらから機能を有効化していました。

セッション内では実際のマネジメントコンソール上操作が行われ、Bitcoinをマイニングするプログラムが動作する(させられてしまった想定?)Taskが実際にFindingsに引っかかるシナリオでした。

上記で、細かい点までモニタリング出来るようになったとの記載がある通り
ECS on EC2でのデモでしたが、GuardDuty画面上でリソース詳細、どちらと通信しているか等を細かく確認できました。

所感

祝!待望のECS(Fargate含む)対応という事で

CI/CDとの統合等も実施しやすいため、利便性の高いコンテナ環境ですが、実際に運用していく中でチェックプロセスをすり抜けてしまう事も無くは無いですし
要求と、予算のせめぎ合いから、セキュリティを様々な方面からどのように・どこまで対応するかは、大きな関心事と思います。
本機能が追加された事で、よりECS(Fargate)の導入障壁が下がったと感じるため、検証・導入をすぐに進めて行こうという思いです。

セッション動画

投稿者プロフィール

takashi
Japan AWS Ambassadors 2023, 2024
開発会社での ASP型WEBサービス企画 / 開発 / サーバ運用 を経て
2010年よりスカイアーチネットワークスに在籍しております

機械化/効率化/システム構築を軸に人に喜んで頂ける物作りが大好きです。

ABOUTこの記事をかいた人

Japan AWS Ambassadors 2023, 2024 開発会社での ASP型WEBサービス企画 / 開発 / サーバ運用 を経て 2010年よりスカイアーチネットワークスに在籍しております 機械化/効率化/システム構築を軸に人に喜んで頂ける物作りが大好きです。