変更要約: SCS-C02 第1章を深掘り（比較表・シナリオ・FAQ・ひっかけ・深掘り段落を各節に追加、図を日本語版に対応）
1.1脅威検知
脅威の検知——GuardDuty、Inspector、Macie、Detective、IAM Access Analyzer——を理解します。ログやアクティビティから脅威・脆弱性・機微データの露出を見つけます。
セキュリティは脅威を見つけることから始まります。AWS は用途別の検知サービスを提供します。
1.1.1検知サービスの使い分け
- GuardDuty：ログを機械学習で分析し脅威/不審なアクティビティを検知（VPC Flow/DNS/CloudTrail）。
- Inspector：EC2/ECR/Lambda の脆弱性を自動スキャン。
- Macie：S3 の機微データ（PII 等）を検出・分類する。
- Detective / Access Analyzer：Detective=検出結果を関連付け調査、Access Analyzer=過剰権限/外部公開の分析。
「脅威検知＝GuardDuty」「脆弱性スキャン＝Inspector」「S3 の機微データ＝Macie」「攻撃の経緯を調査＝Detective」「過剰権限/外部公開の分析＝IAM Access Analyzer」 は SCS-C02 で頻出です。役割（検知/スキャン/分類/調査/分析）を取り違えないこと。
GuardDuty は VPC フローログ・DNS ログ・CloudTrail を自動で取り込み、別途ログ設定なしで検知できます。
SCS-C02 では「検知サービスの役割を正確に切り分け、組織全体で運用する」力が問われます。GuardDuty は VPC フローログ・DNS ログ・CloudTrail（管理/S3/Lambda データイベント）を裏で取り込み、機械学習と脅威インテリジェンスで C2 通信・暗号通貨マイニング・異常な API 呼び出し・侵害された認証情報の兆候を検知します。保護プラン（S3 Protection、EKS Protection、Malware Protection、RDS Protection 等）で対象を広げられます。Inspector は EC2・ECR コンテナイメージ・Lambda を継続スキャンして CVE と到達可能性を評価、Macie は S3 の PII/機密データを検出・分類します。Detective は GuardDuty/CloudTrail/VPC フローログからエンティティの振る舞いグラフを作り、検出の「なぜ・どこから・どこまで」を時系列で調査できます（検知ではなく調査）。IAM Access Analyzer は外部公開された S3/ロール/KMS 等の検出、未使用アクセスの分析、ポリシーの検証/生成を行います。組織横断では各サービスを委任管理者アカウントに集約し、メンバーを一元管理、検出は Security Hub に ASFF で集約します。設計の要は、「脅威の振る舞い＝GuardDuty／脆弱性＝Inspector／機微データ＝Macie／調査＝Detective／権限・露出＝Access Analyzer」を取り違えず、委任管理者で組織横断に運用することです。
| 目的 | サービス | 検出/扱う対象 |
|---|---|---|
| 脅威の振る舞い検知 | GuardDuty | ログを ML 分析（C2/異常 API 等） |
| 脆弱性スキャン | Inspector | EC2/ECR/Lambda の CVE |
| 機微データ検出 | Macie | S3 の PII を分類 |
| 調査/権限分析 | Detective / Access Analyzer | 経緯の可視化 / 過剰権限・外部公開 |
シナリオ：マルチアカウント環境で、脅威検知・脆弱性・機微データ露出を組織全体で一元的に見たい。→ GuardDuty/Inspector/Macie/Security Hub をそれぞれ委任管理者アカウントに集約してメンバーアカウントを一元管理。検出は Security Hub に集め、重大度でフィルタ。GuardDuty の検出を起点に Detective で経緯を調査し、過剰権限/外部公開は IAM Access Analyzer で継続的に洗い出します。
FAQ：GuardDuty と Detective はどう違う？ GuardDuty は「検知」——ログを ML で分析して脅威の兆候を見つけ、検出（finding）を出します。Detective は「調査」——その検出を起点に、関連するエンティティの振る舞いグラフと時系列を描いて「根本原因・影響範囲」を深掘りします。検知だけ、調査だけでは不十分で、検知（GuardDuty）→調査（Detective）の流れで使います。
ひっかけ：「EC2/コンテナの脆弱性スキャン」を GuardDuty にするのは誤り——それは Inspector。GuardDuty は振る舞いベースの脅威検知であって CVE スキャナではありません。同様に「S3 の機微データ検出」は Macie、「攻撃の経緯を調査」は Detective、「過剰権限/外部公開の分析」は IAM Access Analyzer。役割を厳密に区別します。
1.1.2この節のまとめ
- 検知＝GuardDuty（脅威）/Inspector（脆弱性）/Macie（機微データ）
- 調査/分析＝Detective／IAM Access Analyzer
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. アカウント内の不審な API 利用や侵害の兆候を、ログから機械学習で継続的に検知したい。何を使いますか？
Q2. S3 に個人情報（PII）が保存されていないか自動で検出・分類したい。何を使いますか？
Q3. GuardDuty の検出結果をもとに、攻撃の経緯や関連イベントを可視化して調査したい。何を使いますか？