ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は、プライベートサブネットの EC2 インスタンスが外部の悪意あるドメインと通信することを DNS レベルで防止したいと考えています。以下の要件があります。
・DNS トンネリングや C&C（Command and Control）サーバーへの通信を DNS クエリレベルで遮断する
・AWS が提供する脅威インテリジェンス（マルウェア・フィッシング・ボットネット等）のマネージドドメインリストを活用する
・DNS クエリログを記録してセキュリティ監査に利用する
・EC2 インスタンスへのエージェントインストールや設定変更は不要とする
この要件を最も適切に満たす AWS サービスの組み合わせはどれですか？
AAWS Network Firewall のステートフルルールでドメインリストフィルタリングを設定し、アラートログを Amazon CloudWatch Logs に転送する
AWS Network Firewall はドメインリストフィルタリングをサポートしますが、AWS マネージドの脅威インテリジェンスドメインリストは提供しておらず、カスタムリストのみです。
BRoute 53 Resolver DNS Firewall でマネージドドメインリスト（AWSManagedDomainsAggregateThreatList 等）とカスタムドメインリストを関連付け、Route 53 Resolver クエリログを有効化する
✓ 正解
Route 53 Resolver DNS Firewall は VPC 内の DNS クエリを Route 53 Resolver レベルでフィルタリングするマネージドサービスです。AWS が継続的に更新する脅威インテリジェンスフィード（AWSManagedDomainsAggregateThreatList、AWSManagedDomainsMalwareDomainList 等）を標準提供しており、EC2 への変更なしに DNS ベースの脅威を遮断できます。Route 53 Resolver クエリログと組み合わせることで全 DNS クエリの監査ログも取得できます。
CAmazon GuardDuty の DNS ログ分析機能を有効化し、悪意あるドメインへのクエリを自動的にブロックする
Amazon GuardDuty は DNS ログを分析して脅威を検出しますが、DNS クエリを能動的にブロックする機能はなく、アラートの生成にとどまります。
DAWS WAF のカスタムルールグループで HTTP リクエストの Host ヘッダーを検査し、悪意あるドメインへのアクセスをブロックする
AWS WAF は HTTP/HTTPS のアプリケーション層を保護するサービスであり、DNS クエリ自体のフィルタリングには使用できません。
解説
Route 53 Resolver DNS Firewall は VPC 内の DNS クエリを Route 53 Resolver レベルでフィルタリングするマネージドサービスです。AWS が継続的に更新する脅威インテリジェンスフィード（AWSManagedDomainsAggregateThreatList、AWSManagedDomainsMalwareDomainList 等）を標準提供しており、EC2 への変更なしに DNS ベースの脅威を遮断できます。Route 53 Resolver クエリログと組み合わせることで全 DNS クエリの監査ログも取得できます。
選択肢AのAWS Network Firewall はドメインリストフィルタリングをサポートしますが、AWS マネージドの脅威インテリジェンスドメインリストは提供しておらず、カスタムリストのみです。
選択肢CのAmazon GuardDuty は DNS ログを分析して脅威を検出しますが、DNS クエリを能動的にブロックする機能はなく、アラートの生成にとどまります。
選択肢DのAWS WAF は HTTP/HTTPS のアプリケーション層を保護するサービスであり、DNS クエリ自体のフィルタリングには使用できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →