Amazon GuardDutyを使いこなす！追加プロテクション機能の導入メリットとコスト最適化戦略

機能名

概要・仕組み

守れるもの／

想定する攻撃シナリオ

S3 Protection

CloudTrail S3データプレーンイベント（GetObjectなど）を分析。基本検知（管理イベント）ではS3データプレーンを捉えられないため、有効化しないと検知できない。

バケット内データへの不正アクセスや異常な一括ダウンロード。

例：深夜に外部IPからオブジェクトが大量にGetObjectされる異常ダウンロードを検知。

EKS Protection（監査ログ）

EKS監査ログ（Audit Log）を分析し、Kubernetes APIの操作ログを継続監視する。

Kubernetes APIへの不審な操作や権限昇格。

例：ClusterRoleBinding作成による権限昇格など、侵入後の横移動を検知。

RDS Protection

Amazon Aurora／RDSのログインイベントを分析・プロファイリング。対応エンジンはAurora MySQL・Aurora PostgreSQL・RDS for PostgreSQL・Aurora PostgreSQL Limitless Database（MySQL／MariaDB単体は対象外）。対応バージョンは随時拡張されるため最新は公式ドキュメント参照。

データベースへのブルートフォース攻撃や異常ログイン。

例：自動化ツールによる夜間のブルートフォースを継続分析し、翌朝まで気づかないリスクを排除。

Lambda Protection

Lambda関数の実行で生成されるネットワーク活動（VPCフローログ）を分析。

侵害された関数による外部C2サーバへの通信など。

例：侵害されたLambdaがC2サーバへHTTP接続するケースを検知。（C2＝攻撃者が侵害済みホストを遠隔操作する指令サーバ。AWSの「EC2」とは無関係）

Runtime Monitoring

EC2・EKS・ECS（Fargate含む）のOSレベルの挙動をエージェントで分析。EKS Runtime MonitoringはEKS Protection（監査ログ）とは別機能。AWS Fargate上のAmazon EKSクラスターはサポート対象外。

ファイル改ざん、リバースシェル実行など深部の侵害。

例：コンテナ内のリバースシェル実行やファイル改ざんをリアルタイムに検知。

Malware Protection for S3

S3オブジェクトのアップロード時にマルウェアスキャンを実行。GuardDuty本体とは独立して単体利用可能。結果はS3オブジェクトタグとして付与でき、EventBridge／Lambdaと連携した自動隔離フローを構築できる。

アップロードファイルに含まれるマルウェア・ランサムウェア・スパイウェアの検知。

Malware Protection for EC2（EBS）

EC2にアタッチされたEBSボリュームのスナップショットを取得し、マルウェアスキャン。GuardDutyの脅威検知と連動して自動スキャンが開始される（GuardDuty有効化が前提）。

EC2上のEBSボリュームに存在するマルウェア・ランサムウェアの検知。

機能

課金基準

（東京リージョン・2026年5月時点）

S3 Protection

分析されたS3データイベント数（最初の5億件は $1.04／100万件、次の45億件は $0.52、50億超は $0.26）

Lambda Protection

実行から生成されるVPCフローログのGB量（最初の500GBは $1.18／GB）

EKS Protection（監査ログ）

分析されたEKS監査ログのイベント数（最初の1億件は $2.48／100万件、次の1億件は $1.24、2億超は $0.31）

RDS Protection

vCPU単位（$1.33／vCPU／月）。Aurora Serverless v2は $0.33／ACU／月

Runtime Monitoring

vCPU単位（最初の500 vCPUは $1.50、次の4,500 vCPUは $0.75、5,000超は $0.25）。EC2・EKS・ECS（Fargate含む）すべて共通でvCPU単位。月あたりvCPU＝アクティブ時間合計×vCPU数÷その月の時間数

Malware Protection for S3

$0.1185／GBスキャン＋$0.282／1,000オブジェクト。12か月の無料利用枠あり（月1,000リクエスト＋1GB）。S3 APIコストは別途。GuardDuty本体とは独立して課金

Malware Protection for EC2（EBS）

$0.05／GBスキャン（EBSスナップショット料金は別途）。GuardDuty有効化が前提

料金改定の補足：Malware Protection for S3は、2025年2月1日にデータスキャン料金が85%値下げされました（東京リージョンの現行単価は $0.1185／GB。出典：AWS公式料金ページ）。

無料トライアル：ほとんどの機能に30日間の無料トライアルが付属します（Malware Protectionは別の無料利用枠）。トライアル中に実ワークロードでの費用を事前に予測できます。

優先度

対象と考え方

最優先

S3 Protection。機密データを格納するS3バケット（図のS3 Confidential）への不正アクセス検知を最優先で有効化する。Public Access Blockやライフサイクルポリシー（Glacierへの自動移行）と組み合わせると、保護とコスト削減を両立しやすい。

高

RDS Protection（重要DBへのブルートフォース・異常ログイン検知）、EKS Protection（Kubernetes APIの不審操作検知）。本番環境の重要リソースから早期に有効化する。

中

Runtime Monitoring（EC2・EKSのOSレベル侵害検知）。エージェント導入コストを30日トライアルで評価してから判断する。

低

開発・ステージング環境全般（除外推奨）。また、該当リソースが存在しない機能（例：Lambdaを使っていない環境でのLambda Protection）は対象外とする。

図のCheck 1・2は、NAT Gateway経由通信の削減、ALBのアイドル状態の確認・削除、不要なEIP・未使用IGWの削除といった一般的なインフラコスト削減施策です。これらはGuardDutyの課金とは別物ですが、同じ参照アーキテクチャ上で併せて見直すと全体コストを下げやすいため、参考として示しています。

SNSの要否：Slack・TeamsのWebhook URLへの通知であれば、LambdaからHTTPS POSTで直接送信できるためSNSは不要です。メールや複数の異なるエンドポイントへ同時配信（ファンアウト）したい場合にのみSNSを組み合わせてください。

このコードの使い方：以下は最小実装のサンプルです。このコードはLambda関数の「コード」エディタに貼り付けるものです。Webhook URLはセキュリティ上コードに直書きせず、Lambdaの「環境変数」SLACK_WEBHOOK_URL に設定します（手順は後述）。

コードに含めるもの：Findingの解析・メッセージ整形・HTTPS送信処理。

関数の設定として用意するもの：環境変数（SLACK_WEBHOOK_URL）、実行ロール（IAM）、EventBridgeトリガー、タイムアウト、ロギング。本番利用ではエラーハンドリングも必ず追加してください。

# Lambda関数サンプル（Python） - Slack Webhook通知

import json, urllib.request, os

WEBHOOK_URL = os.environ['SLACK_WEBHOOK_URL']  # 環境変数に設定（コードに直書きしない）

def lambda_handler(event, context):

    finding  = event.get('detail', {}).get('findings', [{}])[0]

    severity = finding.get('Severity', {}).get('Label', 'UNKNOWN')

    title    = finding.get('Title', '不明な脅威')

    account  = finding.get('AwsAccountId', '不明')

    region   = finding.get('Region', '不明')

    resource = finding.get('Resources', [{}])[0].get('Id', '不明')

    message = {'text': (

        f':rotating_light: GuardDuty [{severity}]\n'

        f'• タイトル: {title}\n'

        f'• アカウント: {account} / {region}\n'

        f'• リソース: {resource}'

    )}

    req = urllib.request.Request(

        WEBHOOK_URL, json.dumps(message).encode(),

        headers={'Content-Type': 'application/json'}, method='POST'

    )

    urllib.request.urlopen(req)

{

  "source": ["aws.securityhub"],

  "detail-type": ["Security Hub Findings - Imported"],

  "detail": {

    "findings": {

      "Severity": { "Label": ["HIGH", "CRITICAL"] },

      "RecordState": ["ACTIVE"],

      "Workflow": { "Status": ["NEW"] }

    }

  }

}

重要（仕様変更）：かつての WorkflowState はASFFで廃止（Retired）され、現在は Workflow オブジェクトの Status フィールド（Workflow.Status）に置き換えられています。値は NEW／NOTIFIED／RESOLVED／SUPPRESSED です（出典：AWS公式ドキュメント「ASFFトップレベル属性」）。旧記述の WorkflowState を使うとパターンが意図どおり一致しないため、上記の Workflow.Status を使用してください。

{

  "detail": {

    "findings": [{

      "Severity": {"Label": "HIGH"},

      "Title": "[TEST] GuardDuty通知確認",

      "AwsAccountId": "123456789012",

      "Region": "ap-northeast-1",

      "Resources": [{"Id": "arn:aws:ec2:ap-northeast-1:123456789012:instance/i-test"}]

    }]

  }

}

Finding Type

意味

Backdoor:EC2/C&CActivity.B!DNS

C2サーバ（攻撃者の指令サーバ、EC2とは別物）との通信（踏み台化の疑い）

CryptoCurrency:EC2/BitcoinTool.B!DNS

マイニングツールの実行（リソースの不正利用）

Exfiltration:S3/AnomalousBehavior

S3からの異常なデータ流出（情報漏洩の疑い）

項目（保護機能）

計算式

（数量 ÷ 単位 × 単価）

月額（USD）

基本検知（CloudTrail管理イベント）

200,000,000件 ÷ 1,000,000 × $4.72

$944

基本検知（VPCフローログ／DNS）

500GB × $1.18／GB（最初の500GB）

$590

S3 Protection

500,000,000件 ÷ 1,000,000 × $1.04（最初の5億件）

$520

EKS Protection（監査ログ）

100,000,000件 ÷ 1,000,000 × $2.48（最初の1億件）

$248

RDS Protection

40 vCPU × $1.33／vCPU／月

$53.20

Runtime Monitoring（EC2）

200 vCPU × $1.50／vCPU／月（最初の500 vCPU、本試算ではEC2のみ計上）

$300

Malware Protection for S3

500GB × $0.1185 ＋ 100,000個 ÷ 1,000 × $0.282

$87.45

Malware Protection for EC2（EBS）

500GB × $0.05／GB（スキャン。EBSスナップショット料金別途）

$25.00

合計

—

$2,767.65

東京リージョン単価について：本試算はすべて東京（アジアパシフィック）リージョンの公式単価（2026年5月時点）です。VPCフローログ／DNS・S3・EKS・Runtimeなどはボリュームディスカウント（段階料金）があり、上表は各機能とも最初の段階の単価で算出しています。

試算対象：図1の参照アーキテクチャに合わせ、EC2・EKS・RDS・S3 を保護する構成を対象としています（Lambdaは構成に無いため除外）。Runtime Monitoringは選択的適用のため本試算ではEC2分のみを計上しています。Malware Protectionは for S3（12か月無料枠適用後）と for EC2／EBS（スキャン量は検知契機により変動、EBSスナップショット料金は別途）を計上しています。

注意：上記は試算です。実コストはワークロード特性により変動します。必ず30日間の無料トライアル中に「使用状況」タブで実績値を確認してください。