GuardDuty 検知対応を DevOps Agent で効率化しようとしている話 / GuardDuty Investigations with DevOps Agent

https://classmethod.connpass.com/event/397512/

Transcript

1. GuardDuty 検知対応を DevOps Agent で効率化しようとしている話 勉強会 opsmethod #3 「運用 × セキュリティ」 2026-09-04 川原征大(kawahara-masahiro) 1
2. 目次 イントロ GuardDuty と検知運用について AWS DevOps Agent とは どんな仕組みを作ったのか おわりに 2
3. イントロ 3
4. 自己紹介 川原征大 (kawahara-masahiro) クラスメソッド クラウド事業統括本部 コンサルティング部 AWSマルチアカウント環境のコスト/セキュリティ改善、AI活用 推進、CCoE支援など 好きなこと: 旅行/ツーリング/スプラトゥーン/Emacs ブログ: https://dev.classmethod.jp/author/kawahara-masahiro/ 4
5. 今日の話 GuardDuty の検知対応を、AWS DevOps Agent に手伝わせてみた 話で す。 検知を起点に自動で初期調査が走る仕組みを作りました。 5
6. GuardDuty と検知運用について 6
7. Amazon GuardDuty AWSの脅威検知サービスです。 証跡やネットワークログから不審なアク ティビディを検知してくれます。 7
8. 検知後の対応フロー Yes GuardDuty 検知 ⭐️ 調査 インシデントか？ 対応 再発防止・抑止 記録 No 「調査」部分をより速く、誰がやっても同じ水準に近づけるために DevOps Agent を試しました。 8
9. AWS DevOps Agent とは 9
10. AWS DevOps Agent AWSが提供するマネージドなAIオペレーションエージェントです。 CloudWatchアラームや監視ツールからのアラートを起点に、 ログやメト リクス、構成情報を横断して調べ、 何が起きているかの見立てと対応候補 を出します。 動作は原則読み取り専用に限定されており、リソースを変更することはあ りません。 ※ 最近 承認付きでリソース更新を実施できる機能が追加されました 10
11. 主要な用語や機能 用語/機能 ひとこと説明 DevOps Agent が動作する論理コンテナ/ エージェントスペース 境界 Webアプリ エージェントを操作する専用のWeb画面 Webアプリ > チャット 自然言語でインフラの状況を問い合わせる Webアプリ > インシデン 調査を作成し、結果と対応案を確認する ト Webアプリ > 改善機能 再発防止に向けた改善提案を確認する Webアプリ > トポロジー リソースと関係性を可視化した構成図 11
12. チャット画面のサンプル 12
13. どんな仕組みを作ったのか 13
14. 構成図 GuardDuty 検知を起点に、自動でDevOps Agent 調査が走る仕組みを作 りました。 14
15. スキルの活用 調査手順と出力形式を揃えるためにスキルを使っています。 15
16. Slack連携 Slack連携すると、 調査結果がチャンネルに投下されます。 16
17. おわりに 17
18. 思ったこと#1 良い感じのサマリを出してくれます！ Finding Type の意味、推定される状況、推奨アクションが構造化されて 届くため、 トリアージの初動調査を ある程度楽にしてくれていると感じ ました。 ただ、初動調査を長く対応している人からすると 「 調査結果は助かる が、正直それは知っていた 」という内容も少なくありません。 初動調査の時間短縮だけを価値と見るなら、 DevOps Agent 導入効果は そこまで大きくないという評価にもなり得ます。 18
19. 思ったこと#2 大事なのは、 担当者の頭の中にあった調査フロー/判断基準を文書として 残していく ことだと感じました。 Agent Skill を書くには「どういう手順で調べているか」「どのパターンは 誤検知か」を 言語化しなければならず、 その過程で暗黙知が形式知にな ります。 形式知にするためのきっかけ作り としても、 DevOps Agent は有用だと 思います。 19
20. 参考資料 AWS DevOps Agent エージェントスペース - AWS DevOps Agent ユーザーガイド エージェント指示 - AWS DevOps Agent ユーザーガイド エージェントスキル - AWS DevOps Agent ユーザーガイド 「DevOps Agentで始めるAWS運用」というタイトルで登壇しまし た | DevelopersIO CCoEとしてマルチアカウント環境 GuardDuty 検知運用を AWS DevOps Agent で効率化しようとした話 - DevelopersIO 20