AWSの新しい検知ルールで、経営者が担当者に確認すべき3つのこと

AWSの新しい検知ルールで、経営者が担当者に確認すべき3つのこと

※この記事は、以下の当方ブログの要約です。全文は以下をどうぞ。

ブログ記事の全文

30秒の紹介動画

AWSを使っている企業向けに、2026年9月、Amazon GuardDutyという脅威検知サービスに新しい機能が加わりました。Custom Detection Rulesという名前で、「このアカウントでは起きないはずの操作」が起きたときに知らせる仕組みです。

たとえば、サーバーのイメージを社外のアカウントへ共有する操作。開発用の環境なら取引先への受け渡しでよくあることですが、顧客データを置いた本番環境で同じことが起きたら、まず誰がやったのかを確かめる必要があります。従来の検知は「どの会社でも怪しい動き」を拾うものが中心でした。今回の機能は、会社ごと、環境ごとの業務の前提を、検知の設定として書き込むものです。

機能を入れるだけでは決まらないこと

この機能は、有効にすれば自動的に守られるというものではありません。どの操作を、どの環境で検知するかは、業務を知っている人が決める必要があります。決め方を誤ると、正規の作業で警告が出続けて誰も見なくなるか、自動対応の仕組みが正規の作業まで止めてしまいます。

担当者に確認していただきたいこと

1. 本番環境で「起きないはずの操作」が、言葉で一覧になっているか
2. 本番化の前に、14日間の試験運用（dry run）で、引っかかった操作の理由を一件ずつ確かめたか
3. 警告が出たとき、夜間も含めて誰が確認し、誰が止める判断をするかが決まっているか

効果は警告の件数ではなく、調査が必要だった割合や、確認までにかかった時間で見ることをおすすめします。

記事では、試験運用の記録表の作り方や、複数のAWSアカウントへ配るときの注意点を、AWSの公式資料に沿って解説しています。自社の環境でどこから始めるべきか迷われたら、お気軽にご相談ください。

※2026年10月時点の公開情報に基づきます。

https://shinichi.noguchi.jp.net/blog/2026-10-10-guardduty-custom-detection-rules.html