どんな機能か
2026年9月4日、Amazon GuardDutyにCustom Detection Rulesが追加されました。AMIの外部共有、VPCフローログの削除、MFAなしのコンソールサインインのように、あるアカウントでは普通の作業でも、別のアカウントでは起きただけで怪しい操作を検知するためのルール群です。
- ルールはGuardDutyが作って維持する（利用者がSQLを書くわけではない）
- 利用者は「どのルールを、どのアカウントに、どのモードで」付けるかを決める
- 対象データは現時点でCloudTrailの管理イベントだけ
- 発表時点で35ルール、26種類の検知結果、MITRE ATT&CKの10戦術
2つのモード
| モード | 動き | 期限 |
|---|---|---|
| dry run | 一致した回数をCloudWatchメトリクスに出すだけ | 14日で自動終了 |
| live | 検知結果を出し、EventBridgeやSecurity Hubへも流れる | なし |
つまずきやすいところ
- メトリクスがゼロでも動作確認にはならない。メトリクスは一致したときしか出ない
-
ConsoleLoginWithoutMFA がどのサインイン方式を対象にするかは、名前ではなく
Definition.Expressionで確認する - liveにすると既存の自動対応が動くかもしれない。重大度7以上で動くLambdaなどを先に確認
- Organizationsの組織設定を削除しても、メンバー側の関連付けは消えない
- 組織全体を対象にした設定がある間は、別モードの設定を作れない（
ConflictException） - 古いAWS CLIにはサブコマンドがない（筆者のv1 1.44系にはなかった）
記事で扱っていること
dry runの観測表の作り方、14日の観測期間の組み方、Organizationsでの配り方の比較、検知後にCloudTrailで流れを追う手順をまとめました。
※2026年10月時点の公開情報に基づく。筆者の環境での動作検証はしていません。