ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は、AWS Organizations 内の複数の AWS アカウント（本番・開発・ステージング）にわたって、全 VPC からのアウトバウンドトラフィックを集中管理するセキュリティアーキテクチャを構築します。以下の要件があります。
・Suricata 互換ルールを使って C&C（Command and Control：攻撃者がマルウェアを遠隔操作するサーバー）への通信を検知・遮断する
・検査レイヤーで通信を対称的にルーティングし、非対称ルーティングによる通信断を防ぐ
・各スポーク VPC の設定変更を最小限に抑える
・AWS マネージドサービスを優先する
これらの要件をすべて満たすアーキテクチャはどれですか？
A各スポーク VPC に AWS Network Firewall エンドポイントを分散配置し、VPC ごとにカスタム Suricata ルールグループを管理する
分散配置は各 VPC への Network Firewall エンドポイント設置を要し、「スポーク VPC の設定変更を最小限に」という要件に反します。
B集中検査用 VPC に AWS Network Firewall を配置し、AWS Transit Gateway の Appliance Mode を有効化して全スポーク VPC のトラフィックをルーティングする
✓ 正解
AWS Network Firewall は Suricata 互換ルールをネイティブサポートする AWS マネージドの侵入検知・防止サービスです。集中検査 VPC パターンでは全スポーク VPC のトラフィックを Transit Gateway 経由で Network Firewall に集約できます。Transit Gateway の Appliance Mode を有効化することで同一アベイラビリティーゾーン内での対称ルーティングが保証され、ステートフル検査で発生しやすい非対称ルーティングの問題を防げます。各スポーク VPC はルートテーブルの変更のみで対応可能です。
CAWS Firewall Manager の WAF ポリシーを Organizations 全体に適用し、Suricata 互換カスタムルールを設定して集中管理する
AWS Firewall Manager の WAF ポリシーは HTTP/HTTPS トラフィックの Web アプリケーション保護用であり、Suricata ルールはサポートしていません。
DAWS Gateway Load Balancer を使用してサードパーティ NGFW アプライアンス（EC2）に集中検査させ、ルートテーブルでトラフィックをインターセプトする
Gateway Load Balancer とサードパーティ NGFW アプライアンスの組み合わせは技術的に有効ですが、EC2 上で動作するアプライアンスは「AWS マネージドサービスを優先」という要件を満たしません。
解説
AWS Network Firewall は Suricata 互換ルールをネイティブサポートする AWS マネージドの侵入検知・防止サービスです。集中検査 VPC パターンでは全スポーク VPC のトラフィックを Transit Gateway 経由で Network Firewall に集約できます。Transit Gateway の Appliance Mode を有効化することで同一アベイラビリティーゾーン内での対称ルーティングが保証され、ステートフル検査で発生しやすい非対称ルーティングの問題を防げます。各スポーク VPC はルートテーブルの変更のみで対応可能です。
選択肢Aの分散配置は各 VPC への Network Firewall エンドポイント設置を要し、「スポーク VPC の設定変更を最小限に」という要件に反します。
選択肢Cの AWS Firewall Manager の WAF ポリシーは HTTP/HTTPS トラフィックの Web アプリケーション保護用であり、Suricata ルールはサポートしていません。
選択肢DのGateway Load Balancer とサードパーティ NGFW アプライアンスの組み合わせは技術的に有効ですが、EC2 上で動作するアプライアンスは「AWS マネージドサービスを優先」という要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →