2025.03.05 aws

AWS IoT Device Defenderとは？機能・料金とDetect終了（2026年8月）の注意点

AWS IoT Device Defenderは、AWS IoTに接続したデバイス群の設定を監査し、通信の異常を検知して、セキュリティリスクを緩和するためのフルマネージドサービスです。証明書やIoTポリシーがベストプラクティスから逸脱していないかを点検する「監査（Audit）」と、デバイスの挙動から不審な兆候を見つける「検知（Detect）」を軸に、AWS IoT Coreと組み合わせてデバイスの安全性を保ちます。ただし検知の中核であるDetect機能は2026年8月31日をもって新規顧客への提供を終了する点に注意が必要です。本記事では機能・料金と、これから導入する場合の判断基準までを整理します。

まとめ：AWS IoT Device Defenderの要点

  • 役割：IoTデバイス群の設定監査・異常検知・リスク緩和を行うAWSのマネージドセキュリティサービス。
  • 3つのコア機能：監査（Audit）／検知（Detect＝Rules DetectとML Detect）／緩和アクション（Mitigation）。
  • 重要な変更：Detect機能は2026年8月31日で新規顧客への提供終了。Audit機能は継続、既存顧客は影響なし。
  • 料金：Auditはデバイス数×月、Detectはメトリクスのデータポイント数で課金。無料利用枠あり。
  • 使いどころ：AWS IoT Core上のデバイス運用における設定ミス・乗っ取り・不正通信の検出。脅威検出全般はAmazon GuardDutyと役割が異なる。

AWS IoT Device Defenderの全体像と監視対象

AWS IoT Device Defenderは、AWS IoT Coreに接続されたデバイスに紐づくリソース（X.509証明書、IoTポリシー、クライアントID）と、デバイスから送られるメトリクスを監視対象とします。監視結果として設定違反や挙動の異常を見つけるとアラームを発行し、その通知先はAWS IoTコンソール、Amazon CloudWatch、Amazon SNSです。SNSへ流せば、セキュリティダッシュボードへの連携や、Lambdaによる自動対処ワークフローの起点にできます。

検知に使うメトリクスは、AWS IoT Core側で計測するクラウド側メトリクス（認可失敗回数やメッセージ送信数など）と、デバイス自身が報告するデバイス側メトリクス（送信パケット数やリッスン中のTCPポート数など）に分かれます。これらの数値を正常とみなす基準を、後述するRules DetectとML Detectのいずれかで判定します（ML Detectが自動でモデル化する対象はこのうちクラウド側6種・デバイス側7種です）。

3つのコア機能：監査・検知・緩和アクション

監査（Audit）｜証明書・ポリシー・クライアントIDの点検

監査は、デバイス関連リソースをAWS IoTのセキュリティベストプラクティスと照合する機能です。たとえば「1つのデバイスが他の多数のデバイスのデータを読み書きできる過剰に緩いポリシー」や、最小権限・デバイスごとの一意な識別といった原則からの逸脱を報告します。監査はオンデマンドでも、スケジュール実行でも動かせます。IoTポリシー設定の妥当性を機械的に洗い出せるのが監査の役割です。

検知（Detect）｜Rules DetectとML Detectの違い

検知は、メトリクスを継続的に評価して不審な挙動を見つける機能で、判定方式が2つあります。Rules Detectは、ユーザーが「正常な挙動」をルール（しきい値）として定義し、各データポイントをそのルールと突き合わせます。挙動が明確に決まっている用途に向きます。もう一方のML Detectは、正常値を人が決めずに機械学習モデルへ委ねる方式で、未知の攻撃や想定外のパターンにも対応しやすいのが利点です。異常検知をどちらの方式で行うかは、デバイスの挙動が定型か否かで選び分けます。

緩和アクション（Mitigation）｜検出後に実行できる対処

緩和アクションは、監査の指摘や検知のアラームに対して実際の対処ステップを実行する機能です。組み込みのアクションとして、対象をThingグループへ追加する、デフォルトのポリシーバージョンを差し替える、デバイス証明書を更新する、といった操作が用意されています。旧来の解説では「検出して通知する」までで止まりがちですが、Device Defenderは検出から是正までを同じサービス内で完結できる点が実運用上の強みです。

ML Detectの仕組みと選び方

ML Detectは、直近14日間のデバイスデータからクラウド側6種・デバイス側7種のメトリクスについて挙動モデルを自動生成し、以降は毎日（学習に十分なデータがある限り）モデルを再学習して、最新14日分の期待挙動へ更新し続けます。ルールを人手で調整し続ける運用コストを抑えつつ、デバイス台数が多く挙動が一定しないフリートで運用負荷を下げられます。逆に、通信仕様が固定でしきい値を明確に引ける小規模構成では、Rules Detectのほうが挙動を意図どおりに制御しやすくなります。誤検知が多い場合はしきい値やモデル対象メトリクスを見直し、重要度の高いアラームが埋もれないよう通知を設計します。

料金体系とDetect機能の新規提供終了（2026年8月31日）

Audit・Detectの料金と無料利用枠

課金はAuditとDetectで分かれます。Auditは月内のアクティブなデバイスプリンシパル数に応じた課金で、監査チェック項目を増減しても月額は変わりません。Detectは監視のために報告されたメトリクスのデータポイント数で課金され、Rules DetectとML Detectで単価が異なります。2026年7月時点の公表例では、Auditが1デバイスあたり月0.0011ドル、Rules Detectが10万データポイントあたり0.025ドル、ML Detectが最初の月30万データポイントまで10万あたり2.00ドル・以降10万あたり0.75ドルです。無料利用枠として、初月はAuditが全デバイス分、Rules Detectが100万データポイント分まで無料です。単価は改定され得るため、見積り前に公式の料金ページで最新値を確認してください。

Detectは2026年8月31日で新規提供終了｜これから始める場合の判断

AWSは、IoT Device DefenderのDetect機能を2026年8月31日をもって新規顧客への提供を終了すると告知しています。Detectを使いたい場合はその日までにサインアップしておく必要があり、Audit機能の提供に変更はありません。したがってこれから設計するなら、設定監査が目的ならAuditをそのまま活用でき、挙動ベースの異常検知が主目的で新規に始めるなら、提供終了日を踏まえた上でDetectの利用開始時期を前倒しするか、Amazon GuardDutyなど他の脅威検出サービスと組み合わせる構成を検討するのが現実的です。既存でDetectを使っている環境は継続利用できます。

導入手順とAWS IoT Coreとの連携

コンソールでのセットアップ手順（監査→検知→通知）

導入はマネジメントコンソールから進めます。前提として、AWSアカウントとAWS IoT Coreへのデバイス登録、必要なIAMロールの設定を済ませておきます。その上で、監査のスケジュールを設定し、検知のセキュリティプロファイル（Rules DetectまたはML Detect）を作成して監視対象メトリクスを割り当て、最後にアラームの通知先（CloudWatchやSNS）を指定すれば基本構成が整います。運用開始後は監査レポートを定期的に確認し、検知ルールやモデル対象メトリクスを実データに合わせて調整していきます。

AWS IoT Coreと組み合わせたセキュリティ運用

Device Defenderは、デバイスとクラウドを接続するAWS IoT Coreの機能・料金・MQTT接続方法と前提を共有します。IoT Coreがデバイス認証と通信基盤を担い、Device Defenderがその上で設定監査と挙動検知を受け持つ役割分担です。デバイス側メトリクスには送信メッセージ数などMQTTのQoSレベルで扱う通信量に関わる指標が含まれるため、通信設計と監視設計は合わせて検討すると無理がありません。AWS IoT GreengrassやAWS IoT Device Managementのフリートインデックスとも連携し、検知結果の集計・検索に使えます。

よくある質問

AWS IoT Device DefenderとAmazon GuardDutyの違いは？

Device DefenderはAWS IoT上のデバイス群に特化し、証明書・ポリシーの監査とデバイス挙動の異常検知を行います。一方のAmazon GuardDutyはAWSアカウントやワークロード全般の脅威を検出するサービスで、対象範囲が異なります。IoTフリートの設定・通信を守るならDevice Defender、AWS環境全体の脅威監視ならGuardDutyという使い分けになります。

IoTの異常検知はどの機能で行いますか？

検知（Detect）機能が担います。ルールで正常値を定義するRules Detectと、機械学習で正常挙動を自動学習するML Detectのいずれかを選び、クラウド側・デバイス側のメトリクスから異常を判定します（ML Detectが自動モデル化するのはクラウド側6種・デバイス側7種）。

料金はいくらで、無料で試せますか？

Auditはデバイス数に応じた月額課金、Detectはメトリクスのデータポイント数課金です。初月はAuditが全デバイス、Rules Detectが100万データポイントまで無料で試せます。最新の単価は公式の料金ページで確認してください。

Detectが使えなくなると何が困りますか？

2026年8月31日以降に新規で始める場合、挙動ベースの異常検知（Rules Detect／ML Detect）を新たに有効化できなくなります。設定監査はAuditで継続できるため、異常検知が必須なら期日までの利用開始か、GuardDuty等との併用を検討します。既存利用者は継続できます。

AWS IoT Coreだけではセキュリティは不十分ですか？

IoT Coreはデバイス認証と安全な通信を提供しますが、設定の妥当性チェックや挙動の異常検知までは自動では行いません。Device Defenderを重ねることで、過剰なポリシーや不審な通信を継続的に点検できます。

関連記事

資料請求

RELATED POSTS 関連記事

一覧へ戻る