サービス

ジャンル

職種：エンジニア

職種：ビジネス職

職種：デザイナー

職種：バックオフィス

職種：その他職種

技術

<h2 id="はじめに">はじめに</h2>

<p>こんにちは。 SRE部の原口です。普段はITインフラ本部のSRE部でクラウドインフラやアプリケーションの改善活動などをしています。<br />
本記事では、AWSのサービスであるAmazon GuardDutyのMalware Protectionを実際に導入した際の注意点を紹介します。</p>

<h2 id="GuardDutyのMalware-Protectionを導入してみた">GuardDutyのMalware Protectionを導入してみた</h2>

<p>先日発表された、Malware Protectionを僕が担当するサービスで導入する機会がありましたのでご紹介します。<br />
今まではAWS標準でマルウェア対策はありませんでしたので、期待に胸を膨らませて早速導入しました。</p>

<h3 id="Malware-Protection-とは">Malware Protection とは</h3>

<p>マネージド型脅威検出サービスのAmazon GuardDutyに、マルウェアスキャンに対応したMalware Protectionが追加されました。</p>

<blockquote>
<p>Malware Protection は GuardDuty のサポート機能として、マルウェアを検出します。</p>
</blockquote>

<p><a href="https://docs.aws.amazon.com/ja_jp/guardduty/latest/ug/malware-protection.html" target="_blank">Amazon GuardDuty の Malware Protection</a></p>

<h3 id="Malware-Protectionのサービス仕様">Malware Protectionのサービス仕様</h3>

<p>マルウェアの感染が疑われた場合は、EBSのスナップショットを取ってスキャンします。<br />
市販されているマルウェア対策ソフトと異なり、リアルタイムのスキャンやマルウェアの排除・停止などは行いませんが、EBSのスナップショットに対してスキャンするので、サービスに影響なく利用できるのが特徴だと思います。<br />
(ウィルス対策ソフトで、サーバーが落ちたり、PCが重たくなって業務ができない・・・なんてことも過去にはありました)<br />
<br />
定期的なスキャンやリアルタイムのスキャンには対応していません。<br />
このような機能が必要な場合は、サードパーティーのマルウェア対策ソフトを利用する必要があります。</p>

<h3 id="Malware-Protectionの仕組み">Malware Protectionの仕組み</h3>

<p>Malware Protectionの実行には、GuardDutyが「あれ？マルウェアに感染していないか？」と思うトリガーが必要になります。<br />
動作フローは以下のとおりです。</p>

<ol>
	<li>GuardDutyがマルウェア感染が疑われる挙動を検出します
	<ol>
		<li><a href="https://docs.aws.amazon.com/ja_jp/guardduty/latest/ug/guardduty_finding-types-ec2.html" target="_blank">検出対象のトリガー</a></li>
	</ol>
	</li>
	<li>Malware ProtectionによりEBSにスナップショットが作成されます</li>
	<li>スナップショットに対してマルウェアスキャンが実施されます</li>
</ol>

<p>上記のように、マルウェアの感染を示す疑わしいアクティビティや潜在的に悪意のあるアクティビティをGuardDutyが検出すると、そのようなアクティビティを検出したリソースにアタッチされたEBSのスナップショットを取り、そのスナップショットに対してスキャンを行います。<br />
そのため、サーバーが高負荷になるなどのサービスへの影響はないのでとりあえず導入しておいて損はないと思います。</p>

<p><img alt="Malware Protectionの動作概要" height="686" src="https://image.dmm-corp.com/6on3llg0tsg3lknu29c4zfpswzkm" width="1200" /></p>

<h3 id="利用料金">利用料金</h3>

<p>東京リージョンだと、 スキャンした対象のEBSボリューム1GBあたり $0.05 の料金がかかります。最初の30日は無料枠があります。<br />
最新の料金は、以下のページでEBS Data Volume Scan Analysisを確認してください。<br />
<a href="https://aws.amazon.com/jp/guardduty/pricing/" target="_blank">Amazon GuardDuty Pricing</a></p>

<h3 id="検出対象">検出対象</h3>

<p>基本的にEBSが対象となりますが、スキャンされない条件があるので注意が必要です。</p>

<h4 id="EBSの暗号化方法によるスキャンの可否">EBSの暗号化方法によるスキャンの可否</h4>

<p>デフォルトのKMSキーで暗号化されたボリュームはスキャンされませんので注意が必要です。<br />
&nbsp;</p>

<table>
	<thead>
		<tr>
			<th style="background-color: rgb(238, 238, 238);">暗号化方法</th>
			<th style="background-color: rgb(238, 238, 238);">対応</th>
		</tr>
	</thead>
	<tbody>
		<tr>
			<td>暗号化されていないボリューム</td>
			<td>○</td>
		</tr>
		<tr>
			<td>カスタマーマネージドキーで暗号化されたボリューム</td>
			<td>○</td>
		</tr>
		<tr>
			<td>デフォルトのKMSキーで暗号化されたボリューム</td>
			<td>✗</td>
		</tr>
	</tbody>
</table>

<h4 id="ECS-実行環境によるスキャンの可否">ECS 実行環境によるスキャンの可否</h4>

<p>EBSをスキャンするのでECS on EC2やEKS on EC2はスキャン対象ですが、ECS Fargateは残念ながら対象外です。<br />
将来的には、Fargateも対象になるといいですね。<br />
&nbsp;</p>

<table>
	<thead>
		<tr>
			<th style="background-color: rgb(238, 238, 238);">実行環境</th>
			<th style="background-color: rgb(238, 238, 238);">対応</th>
		</tr>
	</thead>
	<tbody>
		<tr>
			<td>ECS on EC2</td>
			<td>○</td>
		</tr>
		<tr>
			<td>EKS on EC2</td>
			<td>○</td>
		</tr>
		<tr>
			<td>Fargate</td>
			<td>✗</td>
		</tr>
	</tbody>
</table>

<h3 id="Malware-Protectionの有効化">Malware Protectionの有効化</h3>

<p>マネジメントコンソールより実施します。ワンクリックで有効にできます。<br />
有効になったら以下のような画面になります。</p>

<p><img alt="" height="437" src="https://image.dmm-corp.com/toxwqntrdriy0ohjipcqxznx5bmo" width="1200" /><br />
<br />
今回対象としたサービスはGuardDuty管理者が別途いるので、私のアカウントでは有効にできませんでした。<br />
そのため、管理者に依頼して有効にしてもらいました。<br />
<br />
別途管理者がいる場合は、以下のようなメッセージが表示されています。</p>

<blockquote>
<p>この機能は GuardDuty 管理者 (アカウント番号 0000000000) によってユーザーに代わって管理されます。</p>
</blockquote>

<h3 id="Malware-Protectionの挙動について検証">Malware Protectionの挙動について検証</h3>

<p>せっかく有効にしたので、早速検出できるかテストしました。<br />
マルウェアを置くだけでは動作してくれないため、工夫が必要です。</p>

<h4 id="マルウェアを仕込む">マルウェアを仕込む</h4>

<p>本物のマルウェアは危ないので、<a href="https://www.eicar.org/" target="_blank">EICAR (European Institute for Computer Antivirus Research)</a>が公開しているEICARテストファイルを用いました。<br />
EC2にログインして、EBSの任意の場所に保存します。</p>

<pre>
<code>curl https://secure.eicar.org/eicar.com -o eicar.txt</code></pre>

<h4 id="GuardDutyに検出を実行してもらう">GuardDutyに検出を実行してもらう</h4>

<p>前述したようにGuardDutyに「あっ？怪しい。スキャンしなきゃ！」と思ってもらう必要があります。<br />
というわけで、今回はGuardDutyのテスト用ドメインの&quot;guarddutyc2activityb.com&quot;を名前解決してMalware Protectionを起動しました。<br />
<a href="https://docs.aws.amazon.com/ja_jp/guardduty/latest/ug/guardduty_finding-types-ec2.html#backdoor-ec2-ccactivitybdns" target="_blank">GuardDuty EC2 の検出結果タイプ</a></p>

<pre>
<code>$ dig guarddutyc2activityb.com</code></pre>

<p>しばらく待つと、GuardDutyが起動して以下の2つが検出されました。</p>

<p><img alt="" height="306" src="https://image.dmm-corp.com/ejp8ujw0m8quue08k7xkx5tzf5ww" width="826" /><br />
詳細を確認することもできます。</p>

<p id="ExecutionEC2MaliciousFile"><strong>Execution:EC2/MaliciousFile</strong></p>

<p>EICARテストファイルがちゃんと検出されました！<br />
<img alt="" height="248" src="https://image.dmm-corp.com/4bij9mvuwy6jbhpa3lx3isxglcfz" width="615" /></p>

<p id="BackdoorEC2CCActivityBDNS"><strong>Backdoor:EC2/C&amp;CActivity.B!DNS</strong></p>

<p>最初のトリガーとなった&quot;guarddutyc2activityb.com&quot;を名前解決も検出されています。</p>

<p><img alt="" height="81" src="https://image.dmm-corp.com/7yodwxcrxcv9soqdy80ojkwzsws0" width="598" /><br />
マルウェアのは、実際のスキャンが終わるまで20分程度の時間がかかりましたが、無事に検出されました！</p>

<h3 id="利用時の注意点">利用時の注意点方</h3>

<h4 id="MarketplaceのAMIから起動したEC2は対象外">MarketplaceのAMIから起動したEC2は対象外!!!</h4>

<p>実は、最初にマルウェア検出をテストした際には検出されませんでした。<br />
マルウェアが検出されない理由をいろいろと調べていたところ、AWS Marketplaceより入手したAMIから起動したEC2は、スキャン対象外となっていることに気がつきました。<br />
今回テストした環境は、偶然にもMarketplaceで入手したAMIから起動したEC2インスタンス(CentOS)だったので、EBSはスキャンされていなかったというわけです。<br />
Malware Protectionの検出をテストのログを見ていると以下のようにエラーがでて、スキップされていました。</p>

<pre>
<code>    "resourceDetails": {
        "resourceType": "EC2_INSTANCE",
        "instanceDetails": {
            "instanceId": "i-xxxxxxxxxxxxxxxxx",
            "skipReason": "UNSUPPORTED_PRODUCT_CODE_TYPE"
        }
    }</code></pre>

<p><br />
後からよく調べると、「Marketplaceで入手したAMIから起動したEC2インスタンスはスキャンの対象とならない」と記載がありました。</p>

<blockquote>
<p>GuardDuty は、marketplace としての productCode を使用したインスタンスのスキャンをサポートしていません。</p>
</blockquote>

<p><a href="https://docs.aws.amazon.com/ja_jp/guardduty/latest/ug/malware-protection-auditing-scan-logs.html" target="_blank">GuardDuty Malware Protection の CloudWatch Logs とスキップ理由を理解する</a><br />
&nbsp;</p>

<p>おとなしくAmazon Linuxを利用した方が良いのかもしれません。<br />
今後サポート範囲が広がっていくのか注目していますし、増えていってほしいと思います。<br />
この問題に気がついて再度テストを実施して、本当にマルウェアが検出されたときはとてもうれしかったです。</p>

<h2 id="おわりに">おわりに</h2>

<p>今回は、GuardDutyのMalware Protectionを紹介しました。<br />
安価に利用することができますし、スナップショットへのスキャンなのでサービスへの影響が出ることはありません。<br />
しかも、今後はデフォルトで有効化されます、現時点でも使わない手はなさそうです。<br />
ただし、Marketplaceで入手したものは対象外だったり、リアルタイムのスキャンやマルウェアの無効化や削除も行われませんので、既存の製品と使い分けしていく必要がありそうです。<br />
また、マネジメントコンソール上では検知結果を確認できますが、見逃してしまう場合が多そうです。<br />
EventBridgeを利用した通知も一緒に検討する必要がありそうです。<br />
<br />
この記事が、導入の手助けになれば幸いです。</p>

<p><a href="https://dmm-corp.com/recruit/" target="_blank">DMMの求人情報</a></p>


GuardDutyのMalware Protectionを導入してみました！

シェア