本番アカウントで、認証情報の不正利用や、EC2インスタンスからの不審な通信（マルウェアのC2通信や暗号通貨マイニング）を継続的に検出したいです。エージェント導入やログ分析基盤の構築をせずに始められるサービスはどれですか？

解説

Amazon GuardDutyはCloudTrailイベント、VPCフローログ、Route 53 DNSクエリログなどをAWS側で自動的に取り込み、脅威インテリジェンスと機械学習で不審な挙動を検出します。エージェント導入もログ基盤の構築も不要で、有効化するだけで検出が始まります。

選択肢ごとの解説

実務での使いどころ

Amazon GuardDuty は、AWS アカウント内で起きている「進行中の脅威」を検出するマネージドな脅威検出サービスである。入力となるデータソース（CloudTrail 管理イベント、CloudTrail S3 データイベント、VPC フローログ、Route 53 リゾルバー DNS クエリログ、EKS 監査ログなど）は GuardDuty が AWS 側で直接取り込むため、利用者がログの有効化や S3 への転送、分析基盤の構築を行う必要がない。検出結果は Finding として重要度（Low / Medium / High）付きで出力され、EventBridge イベントとして発火するので、SNS 通知や Lambda による自動隔離につなげられる。 類似サービスとの役割分担が重要になる。Amazon Inspector は EC2 や ECR イメージ、Lambda 関数のソフトウェア脆弱性（CVE）と意図しないネットワーク到達性をスキャンする「脆弱性管理」、AWS Config はリソース設定の変更履歴とルール準拠評価を行う「設定コンプライアンス」、AWS CloudTrail は API 操作の「記録」、Amazon Macie は S3 内の機密データの「発見と分類」を担当する。GuardDuty はこれらのログを入力として、既知の悪性 IP・ドメインとの通信、通常と異なるリージョンからの API 呼び出し、EC2 からの暗号通貨マイニング通信といった振る舞いを判定する点が異なる。マルチアカウント環境では、AWS Organizations と連携して委任管理者アカウントから全メンバーアカウントを一括有効化できる。 SAA-C03 では「不審なアクティビティの検出」「侵害された認証情報」「マルウェア通信」「エージェント不要ですぐに始めたい」といった要件で GuardDuty が正解になる。誤答には Inspector（脆弱性スキャン）、Config（設定評価）、CloudTrail（記録のみ）が並び、いずれも「検出はしない」という点で区別できる。検出結果を集約して一元的に見たい場合は AWS Security Hub を組み合わせる、という発展的な出題もある。