【革命】Amazon Q Developer CLI を利用したGuardDutyインシデント調査 #AWS

---
marp: true
theme: default
paginate: true
header: 'AWS GuardDuty S3セキュリティインシデント調査報告書'
footer: 'Confidential - Internal Use Only'
---

# AWS GuardDuty S3セキュリティインシデント調査報告書

**調査対象**: GuardDuty Finding ID `dccbe52fade6cbf534a90ef0604d3359`
**調査日**: 2025年7月3日
**対象アカウント**: XXXX
**対象リージョン**: ap-northeast-1 (東京)

---

## 📋 エグゼクティブサマリー

### インシデント概要
- **重要度**: HIGH (8.0/10)
- **タイプ**: `Policy:S3/BucketAnonymousAccessGranted`
- **対象リソース**: S3バケット `test-my-secret-bucket-kyonosuke-202507021744`
- **発生日時**: 2025年7月2日 18:02:16 JST

### 主要な発見事項
✅ **意図的な設定変更**: セキュリティ制御を段階的に迂回してパブリックアクセスを許可
⚠️ **極めて危険な状態**: 完全なパブリック読み書きアクセスが許可されている
🔍 **証跡確認済み**: CloudTrailログで全ての操作履歴を確認

---

## 🚨 現在のセキュリティ状況

### 危険な設定内容

**バケットポリシー**:
    ```json
    {
      "Version": "2012-10-17",
      "Statement": [{
        "Sid": "AllowSpecificAccount",
        "Effect": "Allow",
        "Principal": "*",
        "Action": "s3:*",
        "Resource": [
          "arn:aws:s3:::test-my-secret-bucket-kyonosuke-202507021744",
          "arn:aws:s3:::test-my-secret-bucket-kyonosuke-202507021744/*"
        ]
      }]
    }
    ```


**パブリックアクセスブロック**: 全て無効化済み

---

## 📊 GuardDuty検知詳細

### Finding情報
- **Finding ID**: `dccbe52fade6cbf534a90ef0604d3359`
- **検知時刻**: 2025-07-02 09:02:16 UTC
- **実行者**: `AWSReservedSSO_AWSAdministratorAccess_XXXX`
- **プリンシパルID**: `AROA6D2FUA7DXAO7WIIFO:[email protected]`

### アクセス元情報
- **IPアドレス**: `XXXX`
- **地理的位置**: XXXX
- **ISP**: J:COM Co., Ltd.
- **ASN**: 9824

---

## 🔍 CloudTrail調査結果

### 時系列での操作履歴

| 時刻 (JST) | API操作 | 結果 | 説明 |
|------------|---------|------|------|
| 17:45:12 | CreateBucket | ✅成功 | バケット作成 |
| 17:48:25 | PutBucketPolicy | ❌失敗 | 無効なプリンシパル |
| 17:48:53 | PutBucketPolicy | ✅成功 | アカウント限定ポリシー |
| 17:55:01 | PutBucketPolicy | ❌失敗 | パブリックアクセスブロック制限 |
| 17:55:58 | PutBucketPublicAccessBlock | ✅成功 | **セキュリティ制御無効化** |
| 17:56:36 | PutBucketPolicy | ✅成功 | **危険なパブリックポリシー設定** |

---

## 🔐 セキュリティ制御の迂回プロセス

### 段階的な設定変更

1. **初期状態**: セキュアな設定でバケット作成
2. **テスト段階**: 正常なアカウント限定ポリシーを設定
3. **制御確認**: パブリックポリシー設定を試行 → ブロックされる
4. **制御迂回**: パブリックアクセスブロックを意図的に無効化
5. **危険な設定**: 完全なパブリックアクセスを許可

### AWS公式ドキュメントによる推奨事項
> **重要**: パブリックアクセスは、アクセス制御リスト（ACL）、アクセスポイントポリシー、バケットポリシー、またはすべてを通じてバケットとオブジェクトに付与されます。すべてのAmazon S3アクセスポイント、バケット、およびオブジェクトのパブリックアクセスがブロックされるようにするため、アカウントのパブリックアクセスブロックの4つの設定をすべて有効にすることをお勧めします。

*出典: [Blocking public access to your Amazon S3 storage](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-control-block-public-access.html)*

---

## ⚠️ リスク評価

### 現在のリスクレベル: **極めて高い**

#### データセキュリティリスク
- 🔓 **完全なパブリックアクセス**: 誰でもバケット内容の読み取り・書き込み・削除が可能
- 📊 **データ漏洩**: バケット内のすべてのオブジェクトが公開状態
- 🗑️ **データ改ざん・削除**: 悪意のあるアクターによるデータ破壊の可能性

#### 運用・コストリスク
- 💰 **予期しない課金**: 大量のデータ転送による高額請求
- 🚫 **サービス拒否**: 悪意のあるトラフィックによるサービス影響
- 📈 **レピュテーションリスク**: データ漏洩による企業信頼性への影響

---

## 🛠️ 緊急対応手順

### 即座に実行すべき対応

#### 1. バケットポリシーの削除
    ```bash
    aws s3api delete-bucket-policy \
      --bucket test-my-secret-bucket-kyonosuke-202507021744 \
      --profile audit --region ap-northeast-1
    ```

#### 2. パブリックアクセスブロックの有効化
    ```bash
    aws s3api put-public-access-block \
      --bucket test-my-secret-bucket-kyonosuke-202507021744 \
      --public-access-block-configuration \
      "BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true" \
      --profile audit --region ap-northeast-1
    ```

---

## 📋 推奨される追加対応

### 短期対応 (24時間以内)

1. **バケット内容の監査**
   - 格納されているデータの機密性レベル確認
   - 不正なオブジェクトの有無確認

2. **アクセスログの詳細分析**
   - S3アクセスログの有効化と分析
   - 不審なアクセスパターンの調査

3. **類似設定の確認**
   - 他のS3バケットの設定確認
   - アカウント全体のパブリックアクセス設定監査

### 中長期対応 (1週間以内)

1. **セキュリティ統制の強化**
   - アカウントレベルでのパブリックアクセスブロック設定
   - IAMポリシーによる権限制限

2. **監視体制の強化**
   - GuardDutyアラートの自動対応設定
   - CloudWatchアラームの設定

---

## 📚 AWS公式ガイダンス

### GuardDutyによる侵害されたS3バケットの修復手順

AWS公式ドキュメントでは、以下の手順を推奨しています：

1. **侵害された可能性のあるS3リソースの特定**
2. **疑わしい活動のソースとAPIコールの特定**
3. **コールソースがリソースへのアクセスを許可されているかの判断**
4. **S3バケットが意図的にパブリックであるかの判断**

*出典: [Remediating a potentially compromised S3 bucket](https://docs.aws.amazon.com/guardduty/latest/ug/compromised-s3.html)*

### S3セキュリティベストプラクティス

- パブリックアクセスブロック設定の有効化
- 最小権限の原則に基づくアクセス制御
- 定期的なアクセス権限の監査
- CloudTrailによる操作ログの記録と監視

---

## 🎯 結論と推奨事項

### 調査結論
- **意図的な設定変更**: テスト目的と推測されるが、極めて危険な状態
- **セキュリティ制御の迂回**: AWS標準のセキュリティ機能を意図的に無効化
- **即座の対応が必要**: 現在の設定は本番環境では絶対に許可されない

### 最優先推奨事項
1. **即座にパブリックアクセスを無効化**
2. **バケット内容の緊急監査実施**
3. **類似設定の全社的な確認**
4. **セキュリティ教育の実施**

### 長期的改善策
- アカウントレベルでのガバナンス強化
- 自動化されたセキュリティ監視の導入
- 定期的なセキュリティ監査の実施

---

## 📞 連絡先・参考資料

### 緊急連絡先
- **セキュリティチーム**: [連絡先情報]
- **AWS サポート**: [サポートケース番号]

### 参考資料
- [AWS S3 Security Best Practices](https://docs.aws.amazon.com/AmazonS3/latest/userguide/security-best-practices.html)
- [AWS GuardDuty User Guide](https://docs.aws.amazon.com/guardduty/latest/ug/)
- [AWS CloudTrail User Guide](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/)

---

**報告書作成者**: Amazon Q  
**作成日時**: 2025年7月3日  
**分類**: 機密 - 社内使用のみ