Amazon EC2インスタンスのサポートの前提条件 - Amazon GuardDuty
EC2 インスタンスSSMを管理できるようにするアーキテクチャ要件の検証組織サービスコントロールポリシーの検証自動エージェント設定を使用する場合CPU およびメモリ制限次のステップ

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon EC2インスタンスのサポートの前提条件

このセクションでは、Amazon EC2インスタンスのランタイム動作をモニタリングするための前提条件について説明します。これらの前提条件が満たされた後、「 GuardDuty Runtime Monitoring の有効化」を参照してください。

EC2 インスタンスSSMを管理できるようにする

ランタイムイベント GuardDuty をモニタリングする Amazon EC2インスタンスは、 (SSM) 管理されている AWS Systems Manager 必要があります。これは、 GuardDuty を使用してセキュリティエージェントを自動的に管理するか、手動で管理するかに関係なく異なります。ただし、手動 を使用してエージェントを手動で管理する場合方法 2 - Linux パッケージマネージャーを使用する、EC2インスタンスSSMを管理する必要はありません。

で Amazon EC2インスタンスを管理するには AWS Systems Manager、「 AWS Systems Manager ユーザーガイド」の「Amazon EC2インスタンス用の Systems Manager のセットアップ」を参照してください。

Fedora ベースのEC2インスタンスに関する注意

AWS Systems Manager は Fedora OS ディストリビューションをサポートしていません。Runtime Monitoring を有効にしたら、手動メソッド (方法 2 - Linux パッケージマネージャーを使用する) を使用して、セキュリティエージェントを Fedora ベースのEC2インスタンスにインストールします。

サポートされているプラットフォームの詳細については、「 AWS Systems Manager ユーザーガイド」の「サポートされているパッケージプラットフォームとアーキテクチャ」を参照してください。

アーキテクチャ要件の検証

OS ディストリビューションのアーキテクチャは、 GuardDuty セキュリティエージェントの動作に影響を与える可能性があります。Amazon EC2インスタンスの Runtime Monitoring を使用する前に、次の要件を満たす必要があります。

  • 次の表は、Amazon EC2インスタンスのセキュリティエージェントをサポートすることが検証された OS GuardDutyディストリビューションを示しています。

    OS ディストリビューション1 カーネルバージョン2 カーネルサポート CPU アーキテクチャー
    x64 (AMD64） Graviton (ARM64）

    AL2 および AL2023

    Ubuntu 20.04 および Ubuntu 22.04

    Debian 11 および Debian 12

    5.4、5.10、5.15、6.1、6.5、6.8

    eBPF、トレースポイント、Kprobe

    サポート

    サポート

    Ubuntu 24.04

    		 6.8

    RedHat 9.4

    5.14

    Fedora3 34.0

    5.11、5.17

    CentOS 9.0

    5.14

    1. さまざまなオペレーティングシステムのサポート - は、前の表にリストされているオペレーティングシステムでの Runtime Monitoring の使用のサポートを検証 GuardDuty しました。別のオペレーティングシステムを使用しているときに、リストされている OS ディストリビューションで が提供することが検証 GuardDuty されたすべての期待されるセキュリティ値を取得する場合があります。

    2. カーネルバージョンでは、 CONFIG_DEBUG_INFO_BTFフラグを y (true を意味する) に設定する必要があります。これは、 GuardDuty セキュリティエージェントが期待どおりに実行できるようにするために必要です。

    3. Fedora は、自動エージェント設定でサポートされているプラットフォームではありません。を使用して、セキュリティエージェントを GuardDuty Fedora にデプロイできます方法 2 - Linux パッケージマネージャーを使用する。

  • 追加要件 - Amazon ECS/Amazon がある場合にのみ EC2

    Amazon ECS/Amazon ではEC2、最新の Amazon ECS最適化 AMIs (2023 年 9 月 29 日以降) を使用するか、Amazon ECS エージェントバージョン v1.77.0 を使用することをお勧めします。

組織サービスコントロールポリシーの検証

組織内のアクセス許可を管理するサービスコントロールポリシー (SCP) を設定している場合は、アクセス許可の境界が を制限していないことを確認しますguardduty:SendSecurityTelemetry。では GuardDuty 、さまざまなリソースタイプにわたって Runtime Monitoring をサポートする必要があります。

メンバーアカウントの場合は、関連する委任管理者に接続します。組織の 管理の詳細については、「サービスコントロールポリシー (SCPs）SCPs」を参照してください。

自動エージェント設定を使用する場合

を使用するには自動エージェント設定を使用する (推奨)、 が次の前提条件を満たす AWS アカウント 必要があります。

  • 自動エージェント設定で包含タグを使用する場合、 GuardDuty で新しいインスタンスのSSM関連付けを作成するには、新しいインスタンスがSSM管理され、https://console.aws.amazon.com/systems-manager/コンソールの Fleet Manager の下に表示されることを確認します。

  • 自動エージェント設定で除外タグを使用する場合:

    • アカウントの GuardDuty 自動エージェントを設定する前に、GuardDutyManaged：false タグを追加します。

      Amazon EC2インスタンスを起動する前に、必ず除外タグを追加してください。Amazon の自動エージェント設定を有効にするとEC2、除外タグなしで起動するEC2インスタンスは、 GuardDuty 自動エージェント設定の対象となります。

    • 除外タグを機能させるには、インスタンス ID ドキュメントがインスタンスメタデータサービス () で使用できるようにインスタンス設定を更新しますIMDS。このステップを実行する手順は、アカウントのRuntime Monitoring の有効化の一部として既に組み込まれています。

CPU GuardDuty エージェントの およびメモリ制限

CPU 制限

Amazon EC2インスタンスに関連付けられた GuardDuty セキュリティエージェントの最大CPU制限は、合計 vCPU コアの 10% です。例えば、EC2インスタンスに 4 つの vCPU コアがある場合、セキュリティエージェントは使用可能な合計 400% のうち最大 40% を使用できます。

メモリ制限

Amazon EC2インスタンスに関連付けられたメモリから、 GuardDuty セキュリティエージェントが使用できるメモリが制限されています。

次の表は、メモリ制限を示しています。

Amazon EC2インスタンスのメモリ

GuardDuty エージェントの最大メモリ

8 GB 未満

128 MB

32 GB 未満

256 MB

32 GB 以上

1 GB

次のステップ

次のステップでは、Runtime Monitoring を設定し、セキュリティエージェントを (自動または手動で) 管理します。