## GuardDutyのアラートからIP制限を自動反映するWAFルール設定

### 目次
1. はじめに
2. 要件と前提条件
   2.1 必要な権限
   2.2 使用するAWSサービス
3. Architect選定理由
4. WAFルールの設定手順
   4.1 GuardDutyのアクション設定
   4.2 AWS Lambdaの設定とコード実装
   4.3 WAFのIPセット自動更新
5. テストと検証
6. まとめ

### 1. はじめに
本記事では、AWS GuardDutyのアラートをトリガーとして、IP制限を自動的に反映するWAFルールの設定方法を紹介します。これにより、セキュリティインシデントの迅速な対応が可能になります。

### 2. 要件と前提条件
GuardDutyのイベントを基に行動することで、ネットワークにおける潜在的な脅威を迅速にブロックすることが可能です。

#### 2.1 必要な権限
- IAMポリシーを使用してLambdaがGuardDutyとWAFにアクセスできるようにする必要があります。
- WAFとLambdaの必要な権限を事前に設定します。

#### 2.2 使用するAWSサービス
- AWS GuardDuty
- AWS Lambda
- AWS WAF

### 3. Architect選定理由
上記のAWSサービスを使用することで、セキュリティアラートに基づいて即座に対応策を講じることができます。このフローにより、手動操作を最小限に抑え、セキュリティリスクを迅速に減少させます。

### 4. WAFルールの設定手順

#### 4.1 GuardDutyのアクション設定
GuardDutyにおける検知イベントに基づくアクション設定を行います。APIを介してアラートトリガーを処理できるようにします。

#### 4.2 AWS Lambdaの設定とコード実装
GuardDutyから送信されたアラートを受信し、WAFのIPセットを更新するためのLambda関数を作成します。

```python
import json
import boto3

def lambda_handler(event, context):
    waf_client = boto3.client('wafv2')
    ip_address = event['detail']['service']['action']['networkConnectionAction']['remoteIpDetails']['ipAddressV4']
    response = waf_client.update_ip_set(
        Name='BlockedIPs',
        Scope='REGIONAL',
        Id='IPSetId',
        Addresses=[ip_address]
    )
    return {
        'statusCode': 200,
        'body': json.dumps('IP blocked!')
    }
```

#### 4.3 WAFのIPセット自動更新
Lambdaの実行によりWAFのIPセットが更新され、不正なIPのアクセスをブロックするようにします。

### 5. テストと検証
各設定が意図通りに機能することを確認します。特にLambda関数が正しいIPをブロックし、WAFルールに適用されるかを重点的に検証します。

### 6. まとめ
今回の設定で、AWS GuardDutyからのアラートを用いて、不正アクセスを自動的にブロックするWAFルールを設計しました。これにより、脅威に対する迅速な対応が可能になり、セキュリティインシデントの影響を未然に防ぐことができます。

このような自動化設定は、セキュリティのカバレッジを拡大し、運用負担の軽減に貢献します。技術的な構成を通じて、より強固なセキュリティ対策を実現しましょう。 [cv:issue_marketplace_engineer]

GuardDutyのアラートからIP制限を自動反映するWAFルール設定

目次

続きを読むには単価診断を受けてください（30秒）