ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業のセキュリティチームは、AWS Organizations 配下の 40 個の AWS アカウント全体で、インターネットゲートウェイ（IGW）からプライベートサブネット上の EC2 インスタンスへの意図しないネットワークパスが存在しないかを定期的に把握したいと考えています。
以下の条件を満たすソリューションが必要です。
- ルートテーブル・セキュリティグループ・ネットワーク ACL の組み合わせによる実際の到達可能性を静的に分析する
- 既存のリソース設定を変更しない
- 全アカウントを一元的に管理する
最も適切なサービスと構成の組み合わせはどれですか？
AVPC Reachability Analyzer を各アカウントで構成し、IGW から各 EC2 インスタンスへのパスを個別に実行して結果を Amazon S3 に集約し、Amazon Athena でクエリ分析する
VPC Reachability Analyzerは送信元と宛先のリソースペアを個別に指定する必要があり、40アカウント規模全体のスコープを効率的に分析することに不向きです。
BNetwork Access Analyzer でインターネットから VPC 内リソースへの意図しないアクセスパスを示すスコープを定義し、AWS Organizations と統合して全アカウントを一元管理し、Amazon EventBridge Scheduler でスケジュール実行を自動化する
✓ 正解
Network Access Analyzerはルートテーブル・SG・NACL等を組み合わせたネットワークトポロジー全体を静的解析し、スコープに合致するすべてのアクセスパスを列挙できます。AWS Organizations統合で複数アカウント一元管理、EventBridge Schedulerによる自動実行も対応可能です。
CAWS Config マネージドルール restricted-ssh および vpc-sg-open-only-to-authorized-ports を全アカウントで有効にし、AWS Security Hub でコンプライアンス状態を集約する
AWS ConfigマネージドルールはSGルールの個別評価は可能ですが、ルートテーブルやNACLとの組み合わせによるパス到達性を総合的に判断できません。
D全 VPC で VPC Flow Logs を有効化して Amazon CloudWatch Logs Insights に送信し、インターネット（0.0.0.0/0）を送信元とするトラフィックを定期的にクエリして分析する
VPC Flow Logsは実際に発生したトラフィックのリアクティブな事後分析に適しており、攻撃前の潜在的なアクセスパスの予防的検出には対応していません。
解説
Network Access Analyzer はルートテーブル・SG・NACL を組み合わせたネットワークトポロジー全体を静的解析し、スコープに合致するすべてのパスを列挙できる。AWS Organizations との統合で複数アカウントを一元管理でき、既存リソースの変更も不要。
Reachability Analyzer は送信元と宛先のリソースを個別に指定する必要があり、40 アカウント規模の全量スコープ分析には運用上不向き。
Config ルールはセキュリティグループのルールを個別評価するが、ルートテーブルや NACL との組み合わせによるパス到達性は総合的に判断できない。
Flow Logs は実際に発生したトラフィックのリアクティブ分析であり、攻撃前の潜在的な経路の予防的検出には対応しない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →