はじめに

AWS GuardDuty は AWS 環境の脅威を自動で検出するセキュリティサービスです。VPC フローログや DNS クエリログを分析し、不審なアクティビティを検出します。

本記事では、GuardDuty は EC2 のポートスキャンを検出できるのかについて解説します。

ポートスキャンとは？

ポートスキャン（Port Scanning）とは、攻撃者が EC2 やその他の AWS リソースの開いているポートを調査する行為です。

例えば、以下のようなポートスキャンがあります。

これによって、攻撃可能なポートやサービスを特定しようとします。

結論：AWS GuardDuty は EC2 に対するポートスキャンを検出できます。

GuardDuty は、VPC フローログや DNS クエリログを解析し、不審なスキャン行為を自動検知します。

GuardDuty では、ポートスキャンに関連する以下の Finding（検出結果）を出します。

Finding 名	説明
`Recon:EC2/PortScan`	EC2 インスタンスに対するポートスキャンを検出
`Recon:EC2/PortProbeUnprotectedPort`	インターネットに公開されたポートに対するスキャンを検出
`Recon:EC2/PortProbe`	攻撃者が EC2 の複数ポートをスキャンしている
`Recon:EC2/PortProbeUnprotectedPort`	特定のポート（例：22, 3389, 80）へのスキャンが発生