YAZエンジニアが運営するメディア

1. はじめに

この記事の目的

本記事では、AWSの代表的なセキュリティサービスであるAmazon GuardDuty、
Amazon Inspector、AWS Security Hubの3つに焦点を当て、
各サービスの概要からマネジメントコンソールでのハンズオン構築、
そしてハンズオン完了後のリソース削除・無効化までを実施します。

また、この記事では単にサービスを有効化するだけではなく、それぞれのサービスが
「何を検出するのか」「どのような結果を確認するのか」
「実際のAWS運用でどのように使い分けるのか」まで
整理します。
そのため、AWSセキュリティの基本をハンズオン形式で確認したい方にも利用できる構成です。

2. 各セキュリティサービスの概要と役割

今回扱う3つのサービスは「同じセキュリティサービス」ですが、担っているセキュリティ上の観点
（脅威検出・脆弱性管理・設定ガバナンス/CSPM）が明確に異なります。

アイコン	サービス名	役割・目的	主な調査対象
	Amazon GuardDuty	脅威検出 (Threat Detection)	CloudTrail VPCフローログ DNSログ EKS監査ログ等
	Amazon Inspector	脆弱性管理 (Vulnerability Management)	Amazon EC2 Amazon ECR AWS Lambda
	AWS Security Hub CSPM	セキュリティ体制管理 (CSPM)・Finding一元管理	各サービスのFinding セキュリティ ベストプラク ティス適合状況

3サービスの使い分け

まず、Amazon GuardDutyはAWS環境で発生する不審なアクセスや異常な挙動などの脅威を検知する役割を担います。
一方で、Amazon InspectorはEC2、ECR、Lambdaなどを対象として脆弱性を確認するために
利用します。

さらに、AWS Security HubはGuardDutyやInspectorなどから送られるFindingを集約し、
セキュリティ標準への準拠状況を確認します。
そのため、3つのサービスを組み合わせることで、脅威検知・脆弱性管理・セキュリティ体制管理
という異なる観点からAWS環境を確認できます。

全体構成とデータフローのイメージ

各サービスで検出された結果（Finding）は、ASFF（AWS Security Finding Format）という共通形式
に変換され、AWS Security Hub に集約されます。
これにより、セキュリティ担当者は単一のダッシュボードで
AWS環境全体のリスク状態を把握できます。

3. 事前準備（AWS Config の有効化含む）

ハンズオンを開始する前に、以下の準備を行ってください。

• AWS アカウント: 検証用の管理者権限を持ったユーザー/ロールで
  ログインできること。
• 対象リージョン: 検証を行うリージョン（例: ap-northeast-1東京リージョン）。
• AWS CLI: 後片付けステップでAWS Configを削除するため
  ローカル端末等に AWS CLI がセットアップされていること。
• EC2インスタンスの起動: ハンズオンの事前準備として
  対象リージョンでEC2インスタンスをあらかじめ起動しておいてください。

AWS Config のコンソール有効化手順

1. AWSマネジメントコンソール上部の検索バーに「Config」と入力し
   AWS Config サービス画面を開きます。
2. 「1-Click セットアップ」を選択して設定を進めます。
3. 内容を確認し、「確認して保存 / 完了」をクリックして有効化を完了させます。

4. ハンズオン：構築ステップ

Step 1: Amazon GuardDuty の有効化とサンプル検知

GuardDutyはログを分析し、機械学習と脅威インテリジェンスを
用いて異常な挙動を検知するサービスです。

Step 2: Amazon Inspector の有効化とスキャン確認

Amazon Inspectorは、EC2インスタンスやECRのコンテナイメージ、
Lambda関数の脆弱性（CVE）を自動かつ継続的にスキャンするサービスです。

Step 3: AWS Security Hub の有効化と一元管理

Security Hubは、GuardDutyやInspectorの検出結果を統合し
ベストプラクティス（AWS Foundational Security Best Practices等）への
適合度を評価・スコアリングします。

5. 環境の畳み方・後片付け

ハンズオン終了後、無駄な継続課金を防ぐために各種サービスを無効化・削除します。

各セキュリティサービスの無効化手順

• Security Hubの無効化: Security Hubコンソールの「設定」→「一般」から
  「Security Hub の無効化」を選択します。
• Inspectorの無効化: Inspectorコンソールの「設定」→「一般」から
  「Inspector の停止」を実行します。
• GuardDutyの無効化: GuardDutyコンソールの「設定」から
  「GuardDuty の無効化」を選択して無効化します。

事前準備した AWS Config の削除手順

事前準備で有効化した AWS Config が有効なまま放置されると
日々のリソース変更履歴の記録費用が発生し続ける場合があるため
ハンズオン終了後は以下のAWS CLI コマンドを使用して
配信チャネルおよび設定レコーダーを
完全に削除します。

まずは現在の AWS Configの配信チャネルレコーダーの存在状態を確認します。

# 配信チャネルとレコーダーの確認
aws configservice describe-delivery-channels
aws configservice describe-configuration-recorders

削除する際は、依存関係の順序として
①配信チャネルの削除 ➔ ② レコーダーの削除 の順番で実行します。

# 1. 配信チャネルの削除
aws configservice delete-delivery-channel --delivery-channel-name default

# 2. レコーダーの削除
aws configservice delete-configuration-recorder --configuration-recorder-name default

削除完了後、再度以下の確認コマンドを実行し、設定が存在しない状態になっていれば
削除成功です。

# 削除後の確認
aws configservice describe-configuration-recorders

6. まとめ

本記事では、AWSの代表的なセキュリティサービスである
GuardDuty、Inspector、Security Hub の特徴と構築ハンズオン
そして後片付け手順について解説しました。

このように、まずGuardDutyで脅威を検知し、次にInspectorで脆弱性を確認します。

そして、Security Hubで検出結果を集約することで、
AWS環境全体のセキュリティ状態を把握できます。

また、ハンズオン終了後には各サービスを無効化し、
AWS Configについても不要な設定を削除することが重要です。

• Amazon GuardDuty: リアルタイムな脅威検知・攻撃の発見
• Amazon Inspector: EC2/ECR/Lambda 等の脆弱性（CVE）自動管理
• AWS Security Hub: 各種 Finding の集約とセキュリティ体制（CSPM）のスコア化

7. 参考資料

さらに詳しい仕様や最新の操作方法については、以下のAWS公式サイトも確認してください。

• Amazon GuardDuty – AWS公式
• Amazon Inspector – AWS公式
• AWS Security Hub – AWS公式
• AWS Config – AWS公式