「Runtime Monitoring を入れているが、Security Hub の話と GuardDuty の話でコストの見え方が変わるのか」と気になった方向けの記事です。結論から言うと、検知の中身は変わらず、請求書の上での置き場所が変わります。
この記事の結論
- GuardDuty Runtime Monitoring が、Security Hub の Threat Analytics プランに含まれた（2026年10月2日の発表）
- Security Hub を有効にしている場合、利用分は EC2・EKS・Fargate 上の ECS をまとめた Security Hub の1つの計量項目に載る
- 検出範囲・検出の種類・GuardDuty のセキュリティエージェントは変わらず、再設定は要らない
- やることは、コスト配分・予算アラート・社内への説明が古い見え方のままになっていないかの確認
何が起きたか
Amazon GuardDuty Runtime Monitoring は、OS・ネットワーク・ファイルの動きを見て、コンテナの脱出、権限昇格、暗号資産マイニングのような脅威を見つける機能です。対象は Amazon EC2 のインスタンス、Amazon EKS のクラスター、AWS Fargate 上の Amazon ECS のタスクです。
今回の発表で、この Runtime Monitoring が AWS Security Hub の Threat Analytics プランに含まれました。Security Hub を有効にしている環境では、GuardDuty の Runtime Monitoring として別に請求されていた分が、Security Hub の請求として1つの計量項目にまとまります。Security Hub が動いているリージョンで使えます。確認は Cost Explorer か Security Hub の利用状況ページで行えます（AWS What’s New）。
具体的な金額は発表に書かれていないため、この記事では扱いません。自分の環境での差は、請求の実績で確認してください。
仕組みとして何が変わったか
BEFORE / AFTERGuardDuty Runtime Monitoring
検知は同じまま、請求の置き場所だけが動く
これまで
GuardDuty の別請求
- Runtime Monitoring の利用分が単独で計上GuardDuty の項目を見ればよかった
- Security Hub の費用とは別に管理予算も別々に置きがち
これから
Security Hub の Threat Analytics に含まれる
- EC2・EKS・Fargate 上の ECS を1つの計量項目で計上Cost Explorer か Security Hub の利用状況ページで確認
- 検出・エージェントは変わらず再設定も不要見直すのはコスト配分と予算アラート
変わったのは請求の置き場所で、検知の仕組みではありません。発表では、検出の範囲、検出の種類、GuardDuty のセキュリティエージェントが同じままで、何も設定し直さなくてよいと説明されています。
その結果、動くものは次の2つです。1つは、費用の見え方です。 これまで GuardDuty の項目を見ていた集計は、Runtime Monitoring の分が Security Hub 側に動いて見えます。もう1つは、説明の責任です。 「Runtime Monitoring の費用が減った」と見える場合も、実際には計上先が移っただけの可能性があります。
| 項目 | 変わる前 | 変わった後（Security Hub 有効時） |
|---|---|---|
| 請求の計上先 | GuardDuty の Runtime Monitoring | Security Hub の Threat Analytics の計量項目 |
| 対象の集計 | 環境ごとに分かれて見える | EC2・EKS・Fargate 上の ECS をまとめた1項目 |
| 検出・エージェント | 現状どおり | 変更なし（再設定不要） |
| 無料トライアル | Threat Analytics 側のものが別にある | Runtime Monitoring 用の新しいトライアルは追加なし |
CHECK 1ここまでの確認
この変更で、Security Hub を有効にしている環境の何が変わった?
答えと解説
答え: 2. Runtime Monitoring の利用分が、GuardDuty の別請求から Security Hub の請求に載るようになった
変わったのは請求の計上先です。検出の範囲・検出の種類・エージェントはそのままで、再設定も要りません。「仕組みとして何が変わったか」の節を読み直してください。
どんなものに活用できそうか
- コスト配分とタグ集計の見直し。 GuardDuty の費用を部門やプロジェクトに割り振っている場合、Runtime Monitoring の分が Security Hub の項目に移るので、割り振りのルールがその項目を拾えているか確かめられます
- 予算アラートのしきい値の確認。 GuardDuty だけに予算を置いていると、見かけ上の費用が下がり、Security Hub 側は上がります。両方を合わせたしきい値で見直せます
- 社内への説明の更新。 セキュリティ部門と運用部門で「Runtime Monitoring はどこの費用か」の認識が分かれていたなら、この変更の機会に整理できます
一方で、Security Hub を使っていない環境では、この記事の内容はそのまま当てはまりません。 発表は Security Hub を有効にしている場合の請求について書かれているため、使っていない環境は公式ページと請求の実績で確認してください。
CHECK 2ここまでの確認
変更の後、最初に確認するとよいことはどれ?
答えと解説
答え: 1. Cost Explorer などで、Runtime Monitoring の費用の載り方がどう動いたかを見る
検出は変わらないので、確認すべきはコストの見え方です。コスト配分の集計や予算アラートが GuardDuty の項目だけを見ていると、数字の動きが読み違えやすくなります。「どんなものに活用できそうか」の節を読み直してください。
立場ごとに何が変わるか
- 未経験: いまは関係ありません。まずは AWS の請求がサービスごとに分かれて見える、ということを押さえる段階です
- 学習中: 脅威検知（GuardDuty）と、検出結果を集める場所（Security Hub）が別のサービスである、という整理の具体例になります。セキュリティ専門知識（SCS）の、脅威検知と運用の分野につながります
- 実務: Runtime Monitoring を使っているなら、Cost Explorer で計上先の動きを確認し、コスト配分と予算アラートを見直します
- プロ: 顧客のコスト説明に影響します。検知の中身が同じままで請求の項目だけが動く、という点を、提案書や見積もりの前提として明記しておく必要があります
まとめ
- GuardDuty Runtime Monitoring が、Security Hub の Threat Analytics プランに含まれた
- Security Hub を有効にしている環境では、請求が Security Hub の1つの計量項目に載る
- 検出・エージェントは変わらず、設定の変更は要らない
- 確認するのは、コスト配分・予算アラート・社内説明が古い見え方のままになっていないか
