ある医療系スタートアップはAmazon RDS for PostgreSQLにPHI（患者健康情報）を保管するマルチテナントアプリケーションを運用しています。外部セキュリティ監査の結果、RDSインスタンスへのブルートフォ

Question

ある医療系スタートアップはAmazon RDS for PostgreSQLにPHI（患者健康情報）を保管するマルチテナントアプリケーションを運用しています。外部セキュリティ監査の結果、RDSインスタンスへのブルートフォース攻撃や、普段は接続しない地理的ロケーションからの認証試行が指摘されました。セキュリティチームは、RDSインスタンスへのエージェントインストールや既存のVPCアーキテクチャを変更することなく、データベースへの異常な認証動作をほぼリアルタイムで検出し、AWS上の統合セキュリティプラットフォームで調査結果として自動記録できる仕組みを構築したいと考えています。HIPAA要件を満たす最小構成での実装として最適な解決策はどれか。

Accepted Answer

正解: Amazon GuardDutyのRDS Protectionを有効化し、RDSのログインアクティビティを機械学習モデルで継続分析することで、ブルートフォースや地理的に異常な認証試行をGuardDuty調査結果として自動検出する。。Amazon GuardDutyのRDS Protectionは、RDSインスタンスのログインアクティビティをGuardDutyの機械学習モデルで継続的に分析し、ブルートフォース攻撃・クレデンシャルスタッフィング・通常と異なる地理的ロケーションからの認証試行などを検出してGuardDuty調査結果を自動生成するマネージドサービスです。エージェントのインストールや既存のVPCアーキテクチャ変更は不要で、コンソールからの有効化のみで使用を開始できます。

選択肢BのCloudWatch Logsメトリクスフィルターは、認証失敗件数のしきい値監視には有効ですが、機械学習による地理的異常の行動分析は提供しておらず、RDSからのログ配信設定も別途必要なため追加構成が増えます。
選択肢CのAWS CloudTrailは、RDSの管理APIコール（インスタンスの作成・変更）を記録しますが、データベース内部の認証イベント（ユーザーのログイン試行）はCloudTrailの記録対象外であり、ブルートフォース攻撃を検出できません。
選択肢DのAmazon Macieは、S3バケット上のデータを対象とした機密情報分類サービスです。RDSへの認証動作を直接監視する機能はなく、ログをS3にエクスポートしてもMacieは認証パターンの行動分析を行いません。

Answer

RDSインスタンスのPostgreSQLエラーログをAmazon CloudWatch Logsにエクスポートし、認証失敗パターンを検出するメトリクスフィルターを作成してAmazon SNSでアラートを送信する。 — CloudWatch Logsへのログエクスポートとメトリクスフィルターは、認証失敗件数のしきい値アラートには有効ですが、地理的な異常や機械学習ベースの行動分析には対応していません。また、RDSからCloudWatch Logsへのログ配信設定を別途行う必要があり、追加構成が増えます。

Answer

AWS CloudTrailでRDSの管理APIイベント（CreateDBInstance・ModifyDBInstance等）を全リージョンで記録し、CloudWatch Logsのメトリクスフィルターで異常なAPI呼び出し頻度を検出してアラームを設定する。 — AWS CloudTrailはRDSの管理APIコール（インスタンスの作成・変更・削除）を記録しますが、データベース内部の認証イベント（ユーザーのログイン試行）はCloudTrailの記録対象外です。このため、CloudTrail＋メトリクスフィルターではRDSへのブルートフォース攻撃を検出することはできません。

Answer

Amazon Macieを有効化してRDSのPostgreSQLログをAmazon Data FirehoseでS3バケットへリアルタイムにエクスポートし、Macieのデータ分類でPHIへの疑わしいアクセスパターンを継続的にスキャンする。 — Amazon MacieはS3バケット上のデータを対象に機密情報を自動分類・検出するサービスであり、RDSインスタンスへの認証動作を直接監視する機能はありません。RDSログをS3にエクスポートしても、Macieが提供するのはデータ内容の分類であり、認証パターンの行動異常検出は行いません。

解説

解説