GuardDuty・Inspector・Macieの違い

EC2が不審な通信をしていないか、ソフトウェアに脆弱性がないか、S3に個人情報が置かれていないか。AWSでは、確認したいことごとにサービスが分かれています。

Amazon GuardDutyは、ログを分析して不審な動きを検知します。Amazon Inspectorは、ソフトウェアを調べて脆弱性を検出します。Amazon Macieは、S3のデータを調べて機密データを検出します。AWS Security Hubは、この3つの検出結果を1か所に集めます。

3つとも、検出して通知するサービスです。攻撃の通信を止めるのは、WAFとShieldの記事で説明したWAFやShield、VPCのセキュリティグループです。

次の図は、3つのサービスが調べる対象と、検出した内容の行き先を示したものです。検出した内容は、どのサービスでも検出結果という報告になります。英語の画面では、finding と表示されます。

同じEC2インスタンスでも、調べる場所が違います。GuardDutyは、インスタンスの通信のログを調べます。Inspectorは、インスタンスに入っているパッケージを調べます。Macieが調べるのは、S3に置いたデータだけです。

Amazon GuardDutyは、AWSのログを継続して分析し、不審な動きや悪意のある動きを検知するサービスです。分析には、悪意のあるIPアドレスやドメインの一覧と、機械学習のモデルを使います。

有効にすると、GuardDutyは3つの基本のデータソースを読み始めます。CloudTrailの記事で説明した管理イベント・VPCフローログ・Route 53 ResolverのDNSのログです。VPCフローログは、EC2のネットワークインターフェイスを出入りしたIPの通信の記録です。

利用者がフローログやCloudTrailの証跡を作る必要はありません。GuardDutyは、利用者の設定とは別の経路でログを受け取ります。分析に使う項目を取り出したあと、ログは破棄するので、ログの保管には使えません。

DNSのログを読めるのは、EC2がAWSの既定のDNSリゾルバを使っているときだけです。自分で用意したDNSリゾルバや、外部の公開DNSを使っていると、このデータソースは使えません。

検知する脅威の例

• EC2インスタンスが、ビットコインなど暗号資産に関係するドメインやIPアドレスと通信している（不正な採掘の兆候）
• EC2のロールの一時的な認証情報が、AWSの外のIPアドレスから使われている
• EC2インスタンスが、SSHのパスワードを総当たりで試す攻撃に関わっている
• CloudTrailのログの記録が止められた

どれも、GuardDutyの検出結果の種類の一覧に載っているものです。複数のイベントを関連付けて、段階を踏んだ攻撃として通知する機能もあります。この機能は、追加料金なしで有効になります。

保護プランで、調べる範囲を広げる

基本の3つに加えて、サービスごとの保護プランを選んで有効にできます。S3のデータへの操作を調べるS3 Protection、EKSの監査ログを調べるEKS Protectionなどがあります。EC2やコンテナの中のOSの動きを調べるRuntime Monitoringもあります。EBSボリュームのマルウェアを検出するのは、Malware Protectionです。

GuardDutyを初めて有効にすると、Runtime Monitoring以外の保護プランも有効になります。有効になったプランは、30日の無料トライアルに含まれます。どのプランも、あとから無効にできます。

Amazon Inspectorは、スキャンの対象を自動で検出するサービスです。ソフトウェアの脆弱性と、意図しないネットワークへの露出を調べ続けます。調べる対象は、EC2インスタンス・ECRに置いたコンテナイメージ・Lambda関数です。

脆弱性は、公表されたCVEと照合して検出します。CVEは、脆弱性を1件ずつ識別する番号です。脆弱性の記事で説明しています。新しいパッケージを導入したときや、新しいCVEが公表されたときは、自動で再スキャンします。再スキャンの間隔は、次のようにスキャンの方法によって違います。

EC2の中のパッケージは、Systems ManagerのSSM Agentを通して集めます。エージェントが無いインスタンスを、EBSのスナップショットから調べる方法もあります。こちらは24時間に1回です。ECRのイメージは、継続スキャンを設定すると、指定した期間は新しいCVEが出るたびに再スキャンします。インターネットからインスタンスまでの経路が開いているかどうかは、12時間に1回調べます。

検出結果には、脆弱性の深刻さを表すスコアが付きます。このスコアは、CVSSの基本スコアを、その環境に合わせて調整した値です。たとえば、インターネットへの経路が無いインスタンスでは、ネットワーク越しに悪用される脆弱性の点数が下がることがあります。

検出結果には、修正方法の案も付きます。パッチを適用するのは利用者です。Inspectorが修正を確認すると、検出結果は自動で閉じられます。ネットワークへの露出の考え方は、VPCの記事のセキュリティグループとつながります。

Amazon Macieは、機械学習とパターンの照合で、S3に置いた機密データを検出するサービスです。機密データには、個人を特定できる情報・金融の情報・認証情報が含まれます。

有効にすると、Macieはアカウントの汎用バケットの一覧を作ります。それぞれのバケットが公開されていないか、KMSの記事で説明した暗号化が設定されているかなどを監視し続けます。バケットが公開されたときなどは、ポリシーの検出結果として通知します。

中身を調べる2つの方法

1つ目は、自動の機密データの検出です。Macieがバケットから代表的なオブジェクトを選んで調べ、機密データがありそうな場所を広く示します。2つ目は、機密データの検出ジョブです。調べるバケットと範囲を自分で決めて、1回だけ、または定期的に実行します。

マネージドデータ識別子とカスタムデータ識別子

何を機密データとみなすかは、データ識別子で決めます。AWSが用意したものをマネージドデータ識別子と呼びます。クレジットカード番号やAWSのシークレットアクセスキーなどを検出します。自分で正規表現を書いて作るものは、カスタムデータ識別子と呼びます。

マネージドデータ識別子には、国や地域を問わないものと、国や地域ごとのものがあります。2026年10月29日に確認した一覧には、日本のマイナンバーや運転免許証の番号の識別子はありませんでした。日本の番号を検出するときは、カスタムデータ識別子で形式を定義して追加します。

次の図で確認したいことを選ぶと、対応するサービスと、何を調べて検出するかが表示されます。検出後に何が起き、何が起きないかも分かります。要求を止めたい場面では、検出するための3つのサービスではなくWAFが表示されます。

同じEC2でも、通信の動きを調べるならGuardDuty、入っているソフトウェアを調べるならInspectorです。どのサービスも、検出後の対応は利用者に任されています。

3つのサービスはそれぞれの画面に検出結果を表示するので、別々に見ると見落としが出ます。AWS Security Hubは、検出結果を1か所に表示するサービスです。GuardDuty・Inspector・Macieなどから受け取ります。Security Hub自身も、設定がFSBP・CIS・PCI DSS・NISTの基準に合っているかを点検します。

FSBPは、AWSが作ったセキュリティのベストプラクティスの基準です。点検の結果からセキュリティのスコアを計算し、対応が必要なアカウントとリソースを示します。今のユーザーガイドは、この基準による点検と検出結果の集約を「AWS Security Hub CSPM」の名前で説明しています。

AWSは2025年12月2日に、新しいAWS Security Hubの一般提供を始めました。AWSのよくある質問によると、これまでの機能はSecurity Hub CSPMとして提供されます。新しいSecurity Hubは、複数のサービスのシグナルを自動で関連付けます。対象はGuardDuty・Inspector・Macie・Security Hub CSPMなどです。そのうえで、優先して対応すべきリスクを示します。

Amazon Detectiveは、検出結果や不審な動きの原因調査を支援するサービスです。CloudTrailとVPCフローログからイベントを抽出します。GuardDutyの検出結果も取り込んで、関連を図で示します。検知するのがGuardDutyで、検知後に詳しく調べるのがDetectiveです。

アカウントが多いときは、Organizationsと組み合わせます。GuardDuty・Inspector・Macieとも、組織のアカウントを1つのアカウントからまとめて管理できます。

WAFは要求を、セキュリティグループは通信を、その場で止めます。GuardDuty・Inspector・Macieは、止める仕組みではありません。検出した内容を検出結果として記録し、通知します。

IDSとIPSの記事の分類で言えば、通知するIDSの側です。ただし、GuardDutyが調べるのは通信そのものではなくログです。InspectorとMacieが調べるのは、攻撃の動きではなく、脆弱性や機密データの置き場所です。この点で、IDSとも違います。

3つとも、検出結果をAmazon EventBridgeに送ります。EventBridgeは、届いたイベントを条件で振り分けて、ほかのサービスに渡すサービスです。渡す先にSNSを選べば通知ができ、Lambdaを選べば自分で書いた処理を実行できます。

自動で対応させる場合も、何をするかを決めて作るのは利用者です。たとえば、不審なインスタンスのセキュリティグループを差し替える処理は、Lambdaに自分で実装します。

2026年10月29日に料金ページで確認した、料金の決まり方は次のとおりです。どれも従量課金で、金額はリージョンによって変わることがあります。

• GuardDuty：分析したCloudTrailの管理イベントの件数と、VPCフローログ・DNSのログの量で決まります。保護プランは別に数えます。
• Inspector：スキャンしたEC2インスタンスの数の月平均、ECRのイメージのスキャンの回数、Lambda関数の数などで決まります。
• Macie：監視するバケットの数、自動の検出で調べるオブジェクトの数、中身を調べたデータの量で決まります。
• Security Hub CSPM：取り込んだ検出結果の数と、セキュリティチェックの数で決まります。

初めて有効にしたときは、無料トライアルがあります。期間は、GuardDuty・Macie・Security Hub CSPMが30日、Inspectorが15日です。Macieの無料トライアルには、機密データの検出ジョブは含まれません。

• AWS「What is Amazon GuardDuty?」と「GuardDuty foundational data sources」
• AWS「GuardDuty finding types」（検出結果の種類）
• AWS「What is Amazon Inspector?」と「Scanning Amazon EC2 instances with Amazon Inspector」・「Scanning Amazon Elastic Container Registry container images」
• AWS「What is Amazon Macie?」と「Quick reference: Managed data identifiers by type」
• AWS「Introduction to AWS Security Hub CSPM」と「Introduction to AWS Security Hub」、「AWS Security Hub FAQs」
• AWS「AWS Security Hub is now generally available with near real-time risk analytics」（2025年12月2日）
• AWS「What is Amazon Detective?」
• GuardDutyの料金・Inspectorの料金・Macieの料金（2026年10月29日に確認）