翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# GuardDuty S3 Protection の検出結果タイプ
<a name="guardduty_finding-types-s3"></a>

次の検出結果は、Amazon S3リソースに特有のもので、データソースが **S3 CloudTrail データイベント**の場合、またはデータソースが **CloudTrail 管理イベント**や `AccessKey` の場合、**リソースタイプ**は `S3Bucket` となります。検出結果の重大度と詳細は、検出結果タイプとバケットに関連付けられている許可によって異なります。

ここにリストされている検出結果には、検出結果タイプの生成に使用されるデータソースとモデルが含まれます。データソースとモデルの詳細については、「[GuardDuty 基本データソース](guardduty_data-sources.md)」を参照してください。

**重要**  
**S3 CloudTrail データイベント**のデータソースを持つ検出結果は、S3 Protection を有効にしている場合のみ生成されます。デフォルトでは、2020 年 7 月 31 日以降、アカウントが初めて GuardDuty を有効にするか、委任 GuardDuty 管理者アカウントが既存のメンバーアカウントで GuardDuty を有効にすると、S3 Protection が有効になります。ただし、新しいメンバーが GuardDuty 組織に参加するときは、組織の自動有効化の詳細設定が適用されます。自動有効化の詳細設定については、「[組織の自動有効化の詳細設定の指定](set-guardduty-auto-enable-preferences.md)」を参照してください。S3 Protection を有効にする方法については、「[GuardDuty S3 Protection](s3-protection.md)」を参照してください。

すべての `S3Bucket` タイプの検出結果では、問題のバケットに対するアクセス権限と検出結果に関係するユーザーのアクセス権限を確認することをお勧めします。予期しないアクティビティについては、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」に記載されている修復レコメンデーションを参照してください。

**Topics**
+ [Discovery:S3/AnomalousBehavior](#discovery-s3-anomalousbehavior)
+ [Discovery:S3/MaliciousIPCaller](#discovery-s3-maliciousipcaller)
+ [Discovery:S3/MaliciousIPCaller.Custom](#discovery-s3-maliciousipcallercustom)
+ [Discovery:S3/TorIPCaller](#discovery-s3-toripcaller)
+ [Exfiltration:S3/AnomalousBehavior](#exfiltration-s3-anomalousbehavior)
+ [Exfiltration:S3/MaliciousIPCaller](#exfiltration-s3-maliciousipcaller)
+ [Impact:S3/AnomalousBehavior.Delete](#impact-s3-anomalousbehavior-delete)
+ [Impact:S3/AnomalousBehavior.Permission](#impact-s3-anomalousbehavior-permission)
+ [Impact:S3/AnomalousBehavior.Write](#impact-s3-anomalousbehavior-write)
+ [Impact:S3/MaliciousIPCaller](#impact-s3-maliciousipcaller)
+ [PenTest:S3/KaliLinux](#pentest-s3-kalilinux)
+ [PenTest:S3/ParrotLinux](#pentest-s3-parrotlinux)
+ [PenTest:S3/PentooLinux](#pentest-s3-pentoolinux)
+ [Policy:S3/AccountBlockPublicAccessDisabled](#policy-s3-accountblockpublicaccessdisabled)
+ [Policy:S3/BucketAnonymousAccessGranted](#policy-s3-bucketanonymousaccessgranted)
+ [Policy:S3/BucketBlockPublicAccessDisabled](#policy-s3-bucketblockpublicaccessdisabled)
+ [Policy:S3/BucketPublicAccessGranted](#policy-s3-bucketpublicaccessgranted)
+ [Stealth:S3/ServerAccessLoggingDisabled](#stealth-s3-serveraccessloggingdisabled)
+ [UnauthorizedAccess:S3/MaliciousIPCaller.Custom](#unauthorizedaccess-s3-maliciousipcallercustom)
+ [UnauthorizedAccess:S3/TorIPCaller](#unauthorizedaccess-s3-toripcaller)

## Discovery:S3/AnomalousBehavior
<a name="discovery-s3-anomalousbehavior"></a>

### S3 オブジェクトの検出に一般的に使用される API が、異常な方法で呼び出されました。
<a name="discovery-s3-anomalousbehavior_description"></a>

**デフォルトの重大度: [Low] (低**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、IAM エンティティが S3 API を呼び出して、環境内の `ListObjects` などの S3 バケットを検出したことを知らせるものです。このタイプのアクティビティは、攻撃者が情報を収集して AWS 、環境がより広範な攻撃の影響を受けやすいかどうかを判断する攻撃の検出段階に関連付けられています。IAM エンティティが異常な方法で API を呼び出したため、このアクティビティは疑わしいものです。例えば、過去の履歴がない IAM エンティティが S3 API を呼び出したり、IAM エンティティが通常とは異なる場所から S3 API 呼び出したりした場合です。

この API は、GuardDuty の異常検出機械学習 (ML) モデルによって異常として識別されています。機械学習モデルは、アカウント内のすべての API リクエストを評価し、攻撃者が使用するテクニックに関連する異常なイベントを特定します。リクエストを行ったユーザー、リクエストが行われた場所、リクエストされた特定の API、リクエストされたバケット、および API 呼び出しの数など、API リクエストのさまざまな要因を追跡します。リクエストを呼び出したユーザーアイデンティティにおいて API リクエストのどの要因が異常なのかという詳細については、「[検出結果の詳細](https://docs.aws.amazon.com//guardduty/latest/ug/guardduty_findings-summary.html#finding-anomalous)」を参照してください。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## Discovery:S3/MaliciousIPCaller
<a name="discovery-s3-maliciousipcaller"></a>

### AWS 環境内のリソースを検出するために一般的に使用される S3 API が、既知の悪意のある IP アドレスから呼び出されました。
<a name="discovery-s3-maliciousipcaller_description"></a>

**デフォルトの重大度: [High] (高**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、S3 API オペレーションが悪意のある既知のアクティビティと関連した IP アドレスから呼び出されたことを知らせるものです。観察された API は、攻撃者が AWS 環境に関する情報を収集している場合に、攻撃の検出段階に一般的に関連します。例には、`GetObjectAcl` や `ListObjects` が含まれます。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## Discovery:S3/MaliciousIPCaller.Custom
<a name="discovery-s3-maliciousipcallercustom"></a>

### S3 API がカスタム脅威リストにある IP アドレスから呼び出されました。
<a name="discovery-s3-maliciousipcallercustom_description"></a>

**デフォルトの重大度: [High] (高**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、`GetObjectAcl` または `ListObjects` などの S3 API が、アップロード済みの脅威リストに含まれている IP アドレスから呼び出されたことを知らせています。この検出結果に関連する脅威リストは、検出結果の詳細の **[Additional information]** (追加情報) セクションにリストされています。このタイプのアクティビティは攻撃の検出段階に関連しており、攻撃者は、 AWS 環境がより広範な攻撃を受けやすいかどうかを判断するために情報を収集しています。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## Discovery:S3/TorIPCaller
<a name="discovery-s3-toripcaller"></a>

### S3 API が Tor 出口ノードの IP アドレスから呼び出されました。
<a name="discovery-s3-toripcaller_description"></a>

**デフォルトの重大度: [Medium] (中**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、`GetObjectAcl` や `ListObjects` などの S3 API が Tor 出口ノードの IP アドレスから呼び出されたことを知らせるものです。このタイプのアクティビティは、攻撃者が情報を収集して AWS 、環境がより広範な攻撃の影響を受けやすいかどうかを判断する攻撃の検出段階に関連付けられています。Tor は、匿名通信を有効にするためのソフトウェアです。通信を暗号化し、一連のネットワークノード間のリレー中にランダムに通信をバウンスさせます。最後の Tor ノードは終了ノードと呼ばれます。これは、攻撃者の真のアイデンティティを隠す目的で、 AWS リソースへの不正アクセスを示している可能性があります。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## Exfiltration:S3/AnomalousBehavior
<a name="exfiltration-s3-anomalousbehavior"></a>

### IAM エンティティが疑わしい方法で S3 API を呼び出しました。
<a name="exfiltration-s3-anomalousbehavior_description"></a>

**デフォルトの重大度: [High] (高**
+ **データソース:** S3 CloudTrail データイベント

この検出結果から、IAM エンティティが S3 バケットの関連している API コールを行い、このアクティビティがそのエンティティの確立されたベースラインと異なっていることがわかります。このアクティビティで使用された API コールは、攻撃の抽出段階に関連付けられており、攻撃者はデータを収集します。IAM エンティティが異常な方法で API を呼び出したため、このアクティビティは疑わしいものです。例えば、過去の履歴がない IAM エンティティが S3 API を呼び出したり、IAM エンティティが通常とは異なる場所から S3 API 呼び出したりした場合です。

この API は、GuardDuty の異常検出機械学習 (ML) モデルによって異常として識別されています。機械学習モデルは、アカウント内のすべての API リクエストを評価し、攻撃者が使用するテクニックに関連する異常なイベントを特定します。リクエストを行ったユーザー、リクエストが行われた場所、リクエストされた特定の API、リクエストされたバケット、および API 呼び出しの数など、API リクエストのさまざまな要因を追跡します。リクエストを呼び出したユーザーアイデンティティにおいて API リクエストのどの要因が異常なのかという詳細については、「[検出結果の詳細](https://docs.aws.amazon.com//guardduty/latest/ug/guardduty_findings-summary.html#finding-anomalous)」を参照してください。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## Exfiltration:S3/MaliciousIPCaller
<a name="exfiltration-s3-maliciousipcaller"></a>

### AWS 環境からデータを収集するために一般的に使用される S3 API が、既知の悪意のある IP アドレスから呼び出されました。
<a name="exfiltration-s3-maliciousipcaller_description"></a>

**デフォルトの重大度: [High] (高**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、S3 API オペレーションが悪意のある既知のアクティビティと関連した IP アドレスから呼び出されたことを知らせるものです。観察された API は、攻撃者がネットワークからデータを収集しようとしている侵入戦術に一般的に関連しています。例には、`GetObject` や `CopyObject` が含まれます。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## Impact:S3/AnomalousBehavior.Delete
<a name="impact-s3-anomalousbehavior-delete"></a>

### IAM エンティティが疑わしい方法でデータを削除をしようとした S3 API を呼び出しました。
<a name="impact-s3-anomalousbehavior-delete_description"></a>

**デフォルトの重大度: [High] (高**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、 AWS 環境内の IAM エンティティが S3 バケットを含む API コールを行っていることを知らせるもので、この動作はエンティティの確立されたベースラインとは異なります。このアクティビティで使用された API コールは、データを削除しようとする攻撃に関連付けられています。IAM エンティティが異常な方法で API を呼び出したため、このアクティビティは疑わしいものです。例えば、過去の履歴がない IAM エンティティが S3 API を呼び出したり、IAM エンティティが通常とは異なる場所から S3 API 呼び出したりした場合です。

この API は、GuardDuty の異常検出機械学習 (ML) モデルによって異常として識別されています。機械学習モデルは、アカウント内のすべての API リクエストを評価し、攻撃者が使用するテクニックに関連する異常なイベントを特定します。リクエストを行ったユーザー、リクエストが行われた場所、リクエストされた特定の API、リクエストされたバケット、および API 呼び出しの数など、API リクエストのさまざまな要因を追跡します。リクエストを呼び出したユーザーアイデンティティにおいて API リクエストのどの要因が異常なのかという詳細については、「[検出結果の詳細](https://docs.aws.amazon.com//guardduty/latest/ug/guardduty_findings-summary.html#finding-anomalous)」を参照してください。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

S3 バケットのコンテンツを監査して、以前のオブジェクトバージョンを復元できるかどうか、または復元する必要があるかどうかを判断することをお勧めします。

## Impact:S3/AnomalousBehavior.Permission
<a name="impact-s3-anomalousbehavior-permission"></a>

### アクセスコントロールリスト (ACL) のアクセス許可設定に一般的に使用される API が異常な方法で呼び出されました。
<a name="impact-s3-anomalousbehavior-permission_description"></a>

**デフォルトの重大度: [High] (高**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、 AWS 環境内の IAM エンティティが、リストされた S3 バケットのバケットポリシーまたは ACL を更新したことを知らせるものです。この変更により、認証されたすべての AWS ユーザーに S3 バケットが公開される可能性があります。

この API は、GuardDuty の異常検出機械学習 (ML) モデルによって異常として識別されています。機械学習モデルは、アカウント内のすべての API リクエストを評価し、攻撃者が使用するテクニックに関連する異常なイベントを特定します。リクエストを行ったユーザー、リクエストが行われた場所、リクエストされた特定の API、リクエストされたバケット、および API 呼び出しの数など、API リクエストのさまざまな要因を追跡します。リクエストを呼び出したユーザーアイデンティティにおいて API リクエストのどの要因が異常なのかという詳細については、「[検出結果の詳細](https://docs.aws.amazon.com//guardduty/latest/ug/guardduty_findings-summary.html#finding-anomalous)」を参照してください。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

S3 バケットのコンテンツを監査して、オブジェクトが予期せずパブリックアクセスを許可されていなかったか確認することをお勧めします。

## Impact:S3/AnomalousBehavior.Write
<a name="impact-s3-anomalousbehavior-write"></a>

### IAM エンティティが疑わしい方法でデータの書き込みをしようとした S3 API を呼び出しました。
<a name="impact-s3-anomalousbehavior-write_description"></a>

**デフォルトの重大度: [Medium] (中**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、 AWS 環境内の IAM エンティティが S3 バケットを含む API コールを行っていることを知らせるもので、この動作はエンティティの確立されたベースラインとは異なります。このアクティビティで使用された API コールは、データを書き込もうとする攻撃に関連付けられています。IAM エンティティが異常な方法で API を呼び出したため、このアクティビティは疑わしいものです。例えば、過去の履歴がない IAM エンティティが S3 API を呼び出したり、IAM エンティティが通常とは異なる場所から S3 API 呼び出したりした場合です。

この API は、GuardDuty の異常検出機械学習 (ML) モデルによって異常として識別されています。機械学習モデルは、アカウント内のすべての API リクエストを評価し、攻撃者が使用するテクニックに関連する異常なイベントを特定します。リクエストを行ったユーザー、リクエストが行われた場所、リクエストされた特定の API、リクエストされたバケット、および API 呼び出しの数など、API リクエストのさまざまな要因を追跡します。リクエストを呼び出したユーザーアイデンティティにおいて API リクエストのどの要因が異常なのかという詳細については、「[検出結果の詳細](https://docs.aws.amazon.com//guardduty/latest/ug/guardduty_findings-summary.html#finding-anomalous)」を参照してください。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

S3 バケットのコンテンツを監査して、この API 呼び出しが悪意のあるデータや不正なデータを書き込んでいなかったか確認することをお勧めします。

## Impact:S3/MaliciousIPCaller
<a name="impact-s3-maliciousipcaller"></a>

### AWS 環境内のデータまたはプロセスを改ざんするために一般的に使用される S3 API が、既知の悪意のある IP アドレスから呼び出されました。
<a name="impact-s3-maliciousipcaller_description"></a>

**デフォルトの重大度: [High] (高**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、S3 API オペレーションが悪意のある既知のアクティビティと関連した IP アドレスから呼び出されたことを知らせるものです。観測された API は、攻撃者が AWS 環境内のデータを操作、中断、または破棄しようとしている影響戦術に一般的に関連します。例には、`PutObject` や `PutObjectAcl` が含まれます。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## PenTest:S3/KaliLinux
<a name="pentest-s3-kalilinux"></a>

### S3 API が Kali Linux マシンから呼び出されました。
<a name="pentest-s3-kalilinux_description"></a>

**デフォルトの重大度: [Medium] (中**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、Kali Linux を実行しているマシンが、 AWS アカウントに属する認証情報を使用して S3 API コールを行っていることを知らせるものです。認証情報が侵害されている可能性があります。Kali Linux は、セキュリティプロフェッショナルがパッチ適用が必要な EC2 インスタンスの弱点を特定するために使用する一般的な侵入テストツールです。また、攻撃者はこのツールを使用して EC2 設定の弱点を見つけ、 AWS 環境への不正アクセスを取得します。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## PenTest:S3/ParrotLinux
<a name="pentest-s3-parrotlinux"></a>

### S3 API が Parrot Security Linux マシンから呼び出されました。
<a name="pentest-s3-parrotlinux_description"></a>

**デフォルトの重大度: [Medium] (中**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、Parrot Security Linux を実行しているマシンが、 AWS アカウントに属する認証情報を使用して S3 API コールを行っていることを知らせるものです。認証情報が侵害されている可能性があります。Parrot Security Linux は、セキュリティプロフェッショナルが EC2 インスタンスの脆弱性を特定してパッチを適用するために使う一般的な侵入テストツールです。このツールを攻撃者が利用して EC2 設定の脆弱性を探り出し、 AWS 環境への未承認のアクセスを取得する場合があります。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## PenTest:S3/PentooLinux
<a name="pentest-s3-pentoolinux"></a>

### S3 API が Pentoo Linux マシンから呼び出されました。
<a name="pentest-s3-pentoolinux_description"></a>

**デフォルトの重大度: [Medium] (中**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、Pentoo Linux を実行しているマシンが、 AWS アカウントに属する認証情報を使用して S3 API コールを行っていることを知らせるものです。認証情報が侵害されている可能性があります。Pentoo Linux は、セキュリティプロフェッショナルがパッチ適用が必要な EC2 インスタンスの弱点を特定するために使用する一般的な侵入テストツールです。また、攻撃者はこのツールを使用して EC2 設定の弱点を見つけ、 AWS 環境への不正アクセスを取得します。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## Policy:S3/AccountBlockPublicAccessDisabled
<a name="policy-s3-accountblockpublicaccessdisabled"></a>

### IAM エンティティが、アカウント上の S3 ブロックパブリックアクセスを無効にするために使用される API を呼び出しました。
<a name="policy-s3-accountblockpublicaccessdisabled_description"></a>

**デフォルトの重大度: [Low] (低**
+ **データソース** CloudTrail 管理イベント

この検出結果は、Amazon S3 ブロックパブリックアクセスがアカウントレベルで無効されたことを知らせるものです。S3 ブロックパブリックアクセス設定が有効化されると、それらはデータが誤って公開されるのを防ぐためのセキュリティ対策として、バケット上でポリシー、またはアクセスコントロールリスト (ACL) をフィルタリングするために使われます。

バケット内、またはバケット内のオブジェクトへの公開アクセスを許可するために、通常、S3 ブロックパブリックアクセスは、アカウントでは無効になっています。アカウントのために S3 ブロックパブリックアクセスを無効にすると、バケットへのアクセスは、個々のバケットに適用されるポリシー、ACL、またはバケットレベルのパブリックアクセス設定によって制御されます。これは、必ずしもバケットがパブリックに共有されているということではありませんが、アクセスへの適切なレベルが提供されているのを確認するために、バケットに対して適用される許可を監査する必要があります。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## Policy:S3/BucketAnonymousAccessGranted
<a name="policy-s3-bucketanonymousaccessgranted"></a>

### IAM プリンシパルは、バケットポリシーまたは ACL を変更することにより、インターネットへの S3 バケットへのアクセスを許可しています。
<a name="policy-s3-bucketanonymousaccessgranted_description"></a>

**デフォルトの重大度: [High] (高**
+ **データソース** CloudTrail 管理イベント

この検出結果から、IAM エンティティが、そのバケット上のバケットポリシーまたは ACL を変更したため、リストされた S3 バケットがインターネット上でパブリックにアクセス可能になったことを知らせるものです。

ポリシーや ACL の変更が検出されると、GuardDuty は、[Zelkova](https://aws.amazon.com/blogs/security/protect-sensitive-data-in-the-cloud-with-automated-reasoning-zelkova/) による自動推論を使用して、バケットがパブリックにアクセス可能であるかどうかを確認します。

**注記**  
バケットの ACL またはバケットポリシーが明示的に拒否またはすべてを拒否するように設定されている場合、この検出結果はバケットの現在の状態を反映していない可能性があります。この検出結果には、S3 バケットで有効になっている可能性のある [S3 ブロックパブリックアクセス](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-control-block-public-access.html)設定は反映されません。このような場合、検出結果の `effectivePermission` 値には `UNKNOWN` としてマークされます。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## Policy:S3/BucketBlockPublicAccessDisabled
<a name="policy-s3-bucketblockpublicaccessdisabled"></a>

### IAM エンティティが、バケットの S3 ブロックパブリックアクセスを無効にするために使用される API を呼び出しました。
<a name="policy-s3-bucketblockpublicaccessdisabled_description"></a>

**デフォルトの重大度: [Low] (低**
+ **データソース** CloudTrail 管理イベント

この検出結果から、リストされた S3 バケットのために、ブロックパブリックアクセスが無効になったことを知らせるものです。有効にすると、S3 ブロックパブリックアクセス設定が使われ、バケットに適用されるポリシーまたは アクセスコントロールリスト (ACL) をフィルタリングし、データが誤って公開される安全対策となります。

通常、S3 ブロックパブリックアクセスは、バケット上で無効にされ、バケットまたはバケット内のオブジェクトへの公開アクセスを許可します。S3 ブロックパブリックアクセスがこのバケットに対して無効になっている場合、バケットに適用されるポリシーまたはそれに適用される ACL によって、バケットへのアクセスが制御されます。これは、バケットがパブリックに共有されているということではありませんが、バケットに適用されているポリシーと ACL を監査して、適切な許可が適用されていることを確認する必要があります。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## Policy:S3/BucketPublicAccessGranted
<a name="policy-s3-bucketpublicaccessgranted"></a>

### IAM プリンシパルは、バケットポリシーまたは ACL を変更することで、すべての AWS ユーザーに S3 バケットへのパブリックアクセスを許可しています。 ACLs
<a name="policy-s3-bucketpublicaccessgranted_description"></a>

**デフォルトの重大度: [High] (高**
+ **データソース** CloudTrail 管理イベント

この検出結果は、IAM エンティティがその S3 バケットのバケットポリシーまたは ACL を変更したために、リストされた S3 バケットがすべての認証済み AWS ユーザーに公開されたことを知らせるものです。

ポリシーや ACL の変更が検出されると、GuardDuty は、[Zelkova](https://aws.amazon.com/blogs/security/protect-sensitive-data-in-the-cloud-with-automated-reasoning-zelkova/) による自動推論を使用して、バケットがパブリックにアクセス可能であるかどうかを確認します。

**注記**  
バケットの ACL またはバケットポリシーが明示的に拒否またはすべてを拒否するように設定されている場合、この検出結果はバケットの現在の状態を反映していない可能性があります。この検出結果には、S3 バケットで有効になっている可能性のある [S3 ブロックパブリックアクセス](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-control-block-public-access.html)設定は反映されません。このような場合、検出結果の `effectivePermission` 値には `UNKNOWN` としてマークされます。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## Stealth:S3/ServerAccessLoggingDisabled
<a name="stealth-s3-serveraccessloggingdisabled"></a>

### バケットのために S3 サーバーアクセスのログ記録が無効になりました。
<a name="stealth-s3-serveraccessloggingdisabled_description"></a>

**デフォルトの重大度: [Low] (低**
+ **データソース** CloudTrail 管理イベント

この検出結果は、 AWS 環境内のバケットに対して S3 サーバーアクセスログ記録が無効になっていることを知らせるものです。無効にした場合、識別された S3 バケットにアクセスしようとする試みに対してウェブリクエストログは作成されません。ただし、[DeleteBucket](https://docs.aws.amazon.com/AmazonS3/latest/API/API_DeleteBucket.html) などのバケットへの S3 管理 API コールは、まだ追跡されています。このバケットの CloudTrail を介して S3 データイベントログが有効になっている場合、バケット内のオブジェクトに対するウェブリクエストは引き続き追跡されます。ログ記録の無効化は、許可されていないユーザーがその形跡を隠すために頻繁に使用する手法です。S3 ログの詳細については、「[S3 サーバーアクセスログ](https://docs.aws.amazon.com/AmazonS3/latest/dev/ServerLogs.html)」と「[S3 ログオプション](https://docs.aws.amazon.com/AmazonS3/latest/userguide/logging-with-S3.html)」を参照してください。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## UnauthorizedAccess:S3/MaliciousIPCaller.Custom
<a name="unauthorizedaccess-s3-maliciousipcallercustom"></a>

### S3 API がカスタム脅威リストにある IP アドレスから呼び出されました。
<a name="unauthorizedaccess-s3-maliciousipcallercustom_description"></a>

**デフォルトの重大度: [High] (高**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、アップロードした脅威リストに含まれたIP アドレスから S3 API オペレーション (`PutObject` や `PutObjectAcl` など) が呼び出されたことを知らせるものです。この検出結果に関連する脅威リストは、検出結果の詳細の **[Additional information]** (追加情報) セクションにリストされています。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。

## UnauthorizedAccess:S3/TorIPCaller
<a name="unauthorizedaccess-s3-toripcaller"></a>

### S3 API が Tor 出口ノードの IP アドレスから呼び出されました。
<a name="unauthorizedaccess-s3-toripcaller_description"></a>

**デフォルトの重大度: [High] (高**
+ **データソース:** S3 CloudTrail データイベント

この検出結果は、Tor 出口ノードの IP アドレスから S3 API オペレーション (`PutObject` や `PutObjectAcl` など) が呼び出されたことを知らせるものです。Tor は匿名通信を有効化するソフトウェアです。通信を暗号化し、一連のネットワークノード間のリレー中にランダムに通信をバウンスさせます。最後の Tor ノードは終了ノードと呼ばれます。この検出結果は、攻撃者の真のアイデンティティを隠す目的で AWS リソースへの不正アクセスを示している可能性があります。

**修復のレコメンデーション**

関連付けられたプリンシパルに対してこのアクティビティが予期せぬ場合は、認証情報が公開されているか、S3 許可が十分に制限されていないことを示している可能性があります。詳細については、「[侵害された可能性のある S3 バケットの修復](compromised-s3.md)」を参照してください。