大和セキュリティのセキュリティエンジニアである西川明氏は、HITCON 2026でSuzakuとSenriganを用いたAWSの脅威検出について発表しました。この記事では、MITRE ATT&CK Enterprise Tacticsに沿ったAWS CloudTrailイベントを要約します。著者は、攻撃の検出は単一のイベントではなく複数のイベントの相関関係に依存すること、そしてATT&CKによる検出の整理はインシデント対応に文脈を与えることを強調しています。MITRE ATT&CKフレームワークは、その14の戦術とともに、AWS環境での実用性から選択されており、特に初期アクセス、発見、認証情報アクセス、永続化、権限昇格、防御回避、影響といった7つの主要な戦術が重要視されています。初期アクセスは、侵害されたアクセスキーが関与することが多く、アカウントIDとユーザーIDを特定するための最初の呼び出しとしてGetCallerIdentityが一般的です。発見には、IAM権限とリソースの列挙が含まれ、急速な複数リージョンAPI呼び出しやAccessDeniedイベントの増加といった不審なパターンは、潜在的な悪意のあるアクティビティを示唆します。認証情報アクセスはAWSのインスタンスメタデータサービス（IMDS）を頻繁に標的とし、IMDSv2の強制による防止が推奨されます。永続化の手法には、新しいIAMユーザーの作成、フェデレーショントークンの悪用、API Gatewayを使用したLambda関数の活用などが含まれます。信頼ポリシーやIDプロバイダーの改ざんも、永続化メカニズムとして機能します。