【入門編】クラウド環境におけるログ集約とSIEMへの統合（CloudTrail/GuardDuty） – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド

こんにちは！日々の開発やインフラの管理、本当にお疲れ様です。

セキュリティの世界に足を踏み入れたばかりの頃って、次から次へと専門用語が出てきて頭がパンクしそうになりますよね。「共通鍵？公開鍵？」「SIEM？GuardDuty？何それ美味しいの？」と感じている方も多いはずです。でも、安心してください。一歩ずつ、身近な例えから紐解いていけば、決して難しくありません。

今回は、クラウド環境のセキュリティにおいて「絶対に避けて通れない要塞」である、全リージョンのログ集約とSIEMへの統合（CloudTrailとGuardDutyの連携）について、お話ししていきますね。

—

1. 泥棒の足音を聞き逃さない！クラウドの防犯カメラと警備員

まずは、私たちの身近な「お家」に例えて考えてみましょう。

あなたが大きな一軒家を建てたとします。この家には玄関だけでなく、勝手口やベランダ、窓など、出入り口がたくさんありますよね。クラウド（AWSなど）の世界でいう「リージョン（東京やオハイオなど、世界中にあるデータセンターの拠点）」が、まさにこの「たくさんの出入り口」です。

泥棒は、あなたが一番油断している「裏手の窓」から侵入しようとするかもしれません。もし、玄関の鍵（暗号技術や認証基盤）だけに気を取られて、裏手の窓の防犯を怠っていたら……大変なことになりますよね。

ここで登場するのが、以下の2つの強力なツールです。

AWS CloudTrail（全リージョンのログ集約）
これは、家の中の「すべての足音やドアの開閉履歴を24時間録画し続ける防犯カメラ」のようなものです。「誰が、いつ、どこから、どの鍵を使ってドアを開けたか」のすべてを記録し、一つの安全な金庫（中央アカウント）に集めます。
Amazon GuardDuty（脅威検知と自動対応）
これは、その防犯カメラの映像を常に監視し、「おや？深夜に裏口の窓をバールこじ開けようとしている不審者がいるぞ！」と即座に見抜いて警報を鳴らしてくれる「超優秀な警備員」です。

この2つを組み合わせることで、私たちはクラウドという広大なジャスティスワールドで、安全に眠ることができるようになるのです。

—

2. なぜ「全リージョン」のログを「中央アカウント」に集める必要があるの？

初心者の方からよく「東京リージョンだけで良くないですか？」という質問を受けます。実は、ここに攻撃者が好む大きな「盲点」があります。

攻撃者は、セキュリティ担当者の目が届きにくい海外のリージョン（使っていないはずの場所）でこっそり不正なサーバーを立ち上げ、仮想通貨のマイニング（タダで他人のパソコンのパワーを借りてお金を稼ぐ行為）を始めたりすることがあります。「使っていないから大丈夫」という油断が、最大の隙になるんです。

だからこそ、「すべてのリージョンのログを、絶対に改ざんされない1つの中央アカウント（セキュリティ専用の管理部屋）に集約する」ことが鉄則になります。

—

3. 実践！CloudTrailとGuardDutyを連携させる設定の裏側

それでは、実際にインフラエンジニアたちが現場でどのようにこの防犯システムを構築しているのか、その設定のイメージを見ていきましょう。

今回は、Terraform（インフラをコードで管理するツール）を使って、組織全体（複数アカウント）のCloudTrailログをまとめ、GuardDutyに監視させる設定の雰囲気をコードでご紹介します。

# 【解説】組織全体（AWS Organizations）の全リージョンからCloudTrailのログを収集する設定です
resource "aws_cloudtrail" "organizational_trail" {
  name                          = "sec-central-audit-trail"
  s3_bucket_name                = "my-company-security-logs-bucket-xyz"
  is_multi_region_trail         = true  # ここがポイント！全リージョンの動きを網羅します
  is_organization_trail         = true  # 組織内の全アカウントのログを自動集約します
  enable_log_file_validation    = true  # ログが途中で悪意ある第三者に改ざんされていないかを検証できるようにします

  # 泥棒がログをコソッと消去しても気づけるように、S3のライフサイクルや暗号化も厳重にします
}

# 【解説】GuardDutyを有効化し、不審な動きを検知できるようにします
resource "aws_guardduty_detector" "primary" {
  enable = true

  # 30分おきではなく、リアルタイムに近い頻度で怪しいアクティビティをスキャンさせます
  finding_publishing_frequency = "FIFTEEN_MINUTES"
}

このように、コード数行で「全世界の監視カメラの映像を、セキュリティ専門の部署に直結させる」ことができるのがクラウドの素晴らしいところです。

—

4. 現場の泥臭い知見：ログを集めるだけでは「防犯」にならない！

ここで、セキュリティの現場に立つ先輩からのリアルなアドバイスを一つ。

「ログを集めること」と「インシデントに気づいて対処すること」は、全く別の話です。

防犯カメラの映像（CloudTrailのログ）をただ溜め込んでいるだけでは、深夜に泥棒が入って家財道具を持ち去った後で「あ、映像に映ってたね」と気づくのと同じです。これでは意味がありません。

だからこそ、GuardDutyが発報したアラートを、自動的にチャットツール（SlackやMicrosoft Teams）に飛ばしたり、場合によっては自動で「怪しい鍵（IAMユーザーのアクセスキー）を即座に無効化する」という自動インシデント対応のパイプライン（仕組み）まで繋げることが、現代のエンジニアには求められます。

例えば、CloudWatch Events（現 EventBridge）を使って、GuardDutyが「重大な脅威（High Severity）」を検知した瞬間に、自動でLambda（サーバーレスのプログラム）を起動し、危険なアクセスキーを封鎖するスクリプトを走らせるイメージです。

{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": {
    "severity": [7, 7.0, 8, 8.0, 9, 9.0] 
  }
}

*(※上記のようなイベントルールを設定し、重大度が「7以上」の高リスクな検知があった時だけ、警備システム（Lambda）が自動発動するように裏で組み合わせておくわけです)*

—

5. 最後に：一歩ずつ、セキュアなエンジニアへ

いかがでしたでしょうか？
「ログの集約」や「SIEMへの統合」と聞くと、難解な数式や宇宙語のような設定が出てくるように思えるかもしれませんが、本質は私たちが日常生活で使っている「防犯カメラと警備の仕組み」と全く同じです。

すべての出入り口の足音を記録する（CloudTrailの全リージョン集約）
怪しい動きをプロの目で即座に見抜く（GuardDuty）
見つけたら自動で鍵を閉める（自動インシデント対応）

この基本の三拍子を頭の片隅に置いておくだけで、あなたが書くコードや構築するインフラの安全性は劇的に跳ね上がります。

焦らず、一歩ずつ、自分のペースでセキュアな開発・インフラ運用の楽しさを味わっていきましょう！それでは、また次回のセキュリティ解説でお会いしましょう。