ある大手メディア企業は、Amazon CloudFront・Application Load Balancer（ALB）・Route 53 を組み合わせたニュースポータルサービスを運営しています。以前、DDoS（Distributed Denial of Service: 分散型サービス拒否）攻撃によってサービスが停止し、Auto Scaling によるインスタンス増加で AWS の請求額が大幅に増加した経験があります。以下の要件をすべて満たすセキュリティ設計を選んでください： ① DDoS 攻撃によって発生した Auto Scaling 起因のコスト増加を AWS が補填する ② 大規模攻撃が検出された際に AWS の専門チームが事前承認不要で能動的に対応を開始する ③ DDoS 攻撃検出時に Route 53 フェイルオーバーが自動起動して別リージョンへ切り替わる
正解： AWS Shield Advanced を有効化し、CloudFront・ALB・Route 53 Hosted Zone を保護対象リソースとして登録する。Proactive Engagement（事前関与）を有効化して DRT（DDoS Response Team: DDoS 対応専門チーム）の連絡先を登録する。Shield Advanced の Health-based detection（ヘルスベース検出）に Route 53 ヘルスチェックを関連付け、同じヘルスチェックをフェイルオーバールーティングポリシーにも使用する。 AWS Shield Advanced は、DDoS 攻撃に対する高度な保護と付随機能を提供します。「DDoS Cost Protection for Scaling」により DDoS 起因の Auto Scaling コスト増加を Shield Advanced が補填します。「Proactive Engagement」を有効にすると、攻撃検出時に DRT が事前承認なく能動的に対応を開始します（Route 53 ヘルスチェックの登録が必要）。「Health-based detection」に Route 53 ヘルスチェックを関連付けることで、攻撃検出時にヘルスチェックが Unhealthy となりフェイルオーバーポリシーが自動起動します。 選択肢Aは誤り。Shield Standard にはコスト補填機能も DRT へのアクセスも含まれません。 選択肢Cは誤り。CloudFront のみを保護対象とした場合、ALB・Route 53 への攻撃が保護されません。また Proactive Engagement は AWS Enterprise サポートプランではなく Shield Advanced の設定項目であり、明示的な有効化が必要です。 選択肢Dは誤り。DRT への能動的関与（Proactive Engagement）は Shield Advanced 内で個別に設定が必要な機能であり、Enterprise サポートプランとは独立しています。