ANSネットワーク設計複数選択
ある企業のセキュリティチームは、複数のVPCにまたがるAWS環境でコンプライアンス監査を実施しています。以下の2つの異なる要件があります。
要件①：本番VPC内のデータベースサブネットにあるRDSインスタンスが、インターネットゲートウェイ経由でインターネットから到達可能な経路を持っていないことを定期的に検証したい（意図しないアクセス経路の発見）
要件②：特定のEC2インスタンスからRDSエンドポイントへの通信が到達できるかトラブルシューティングしたい（ルートテーブル・セキュリティグループ・NACLの設定確認）
各要件に最も適したAWSサービスの組み合わせを2つ選んでください。
A要件①にNetwork Access Analyzerを使用する。ネットワークアクセス範囲テンプレートでインターネットゲートウェイをソース・RDSをスコープとして設定し、意図しないアクセス経路の有無を組織全体にわたって継続的に検証・監査できる
✓ 正解
Network Access Analyzerはトラフィックを実際に送信せず、ネットワーク設定を静的に分析して意図しないアクセス経路を検出します。インターネットゲートウェイからRDSへの経路の存在を組織全体で定期検証でき、要件①を満たす最適なツールです。
B要件①にVPC Flow LogsとAmazon Athenaを使用する。RDSインスタンスのENIのFlow Logsを有効化し、外部IPからのアクセスログをAthenaで定期クエリして意図しない通信を事後的に検出する
VPC Flow LogsとAthenaは実際に発生した通信のログを事後分析するツールです。経路が設定上存在しても通信が発生していなければ検出できず、意図しない経路の有無を設定ベースで定期検証する要件①には対応できません。
C要件②にVPC Reachability Analyzerを使用する。EC2インスタンスのENIをソース・RDSエンドポイントをデスティネーションとして指定し、ルートテーブル・セキュリティグループ・NACLを含む論理パスを分析して疎通の可否と阻害要因を特定する
✓ 正解
VPC Reachability Analyzerはソース・デスティネーション間のルートテーブル、セキュリティグループ、NACLを論理的に分析し、疎通の可否と阻害要因を具体的に特定します。実際のパケット送信不要で本番環境への影響もなく、要件②のトラブルシューティングに最適です。
D要件②にAWS Network Managerのトポロジービューを使用する。グローバルネットワークマップ上でEC2とRDSのルーティング関係を視覚的に確認し、経路の途切れを発見することで接続問題をトラブルシューティングする
AWS Network ManagerはTransit GatewayやDirect Connectを含むグローバルWANトポロジーの管理・可視化ツールです。VPC内のルートテーブルやセキュリティグループなど詳細なレイヤー設定の疎通分析機能は持たず、EC2からRDSへの接続トラブルシューティングには不適切です。
E要件①にAWS Security HubのCISベンチマークチェックを使用する。インターネットアクセス可能なRDSインスタンスを自動検出し、コンプライアンスダッシュボードで組織全体のセキュリティ状態を継続的に監視する
AWS Security HubはRDSのPubliclyAccessible属性など個別の設定項目をチェックしますが、ルートテーブル・セキュリティグループ・NACLが組み合わさった実際のネットワーク経路を静的に分析する機能はなく、迂回経路を検出できません。Network Access Analyzerの方が要件①を網羅的に満たします。
解説
Network Access Analyzerはネットワーク設定を静的に分析して意図しないネットワークアクセス経路を検出するサービスです。アクセス範囲テンプレートでソースとスコープを定義し、その間に経路が存在するかを論理的に分析します。インターネットゲートウェイをソース、データベースサブネットをスコープとして設定することで、RDSへの意図しないインターネット経路の有無を継続的かつ組織横断的に検証できます。実際のトラフィックに依存しないため、通信未発生の経路も検出できます。
VPC Reachability Analyzerは2つのエンドポイント間の論理的な疎通確認に特化したサービスです。ルートテーブル、セキュリティグループ、NACL、IGW、NAT Gatewayなどすべてのネットワーク設定を考慮してパスを分析し、通信不可の場合はどのリソースが阻害しているかを具体的に示します。実際のパケットを送信しないため本番環境への影響もありません。
選択肢BのVPC Flow LogsとAthenaは実際に発生した通信のログを事後分析するものであり、経路が存在しても通信が発生していなければ検出できません。
選択肢DのAWS Network ManagerはWANトポロジー管理サービスであり、VPC内のルートテーブルやセキュリティグループレベルの詳細な疎通分析機能を持ちません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →