はじめに

AWS GuardDuty は AWS 環境の脅威を自動で検出するセキュリティサービスです。VPC フローログや DNS クエリログを分析し、不審なアクティビティを検出します。

本記事では、GuardDuty は EC2 のポートスキャンを検出できるのかについて解説します。

ポートスキャンとは？

ポートスキャン（Port Scanning）とは、攻撃者が EC2 やその他の AWS リソースの開いているポートを調査する行為です。

例えば、以下のようなポートスキャンがあります。

これによって、攻撃可能なポートやサービスを特定しようとします。

結論：AWS GuardDuty は EC2 に対するポートスキャンを検出できます。

GuardDuty は、VPC フローログや DNS クエリログを解析し、不審なスキャン行為を自動検知します。

GuardDuty では、ポートスキャンに関連する以下の Finding（検出結果）を出します。

Finding 名	説明
`Recon:EC2/PortScan`	EC2 インスタンスに対するポートスキャンを検出
`Recon:EC2/PortProbeUnprotectedPort`	インターネットに公開されたポートに対するスキャンを検出
`Recon:EC2/PortProbe`	攻撃者が EC2 の複数ポートをスキャンしている
`Recon:EC2/PortProbeUnprotectedPort`	特定のポート（例：22, 3389, 80）へのスキャンが発生

GuardDuty は、次のような条件でポートスキャンを警告します。

特に、SSH (22), RDP (3389), HTTP (80), HTTPS (443) などのポートへのスキャンがあるとアラートが出やすいです。

GuardDuty の Findings を Amazon EventBridge に送信し、SNS や Lambda で自動対応できます。

例：

AWS GuardDuty を有効化することで、EC2 に対するポートスキャン攻撃をリアルタイムで検出し、迅速に対応できるようになります。

GuardDuty を有効にするだけでポートスキャンが検出されるので、まだ使っていない方はぜひ試してみてください。

参考情報: