無限ノック › ANS 練習問題一覧 › 問題ANS ネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は、複数の VPC にまたがる EC2 インスタンスが DNS トンネリングを悪用したデータ漏洩攻撃のリスクにさらされていることをセキュリティチームが特定しました。既知の悪意あるドメインへの DNS クエリをブロックするとともに、ブロックされたすべてのクエリのログを集中管理し、セキュリティチームが監査できる仕組みを構築したいと考えています。最も適切な実装はどれですか？
A 各 VPC のネットワーク ACL で UDP ポート 53 へのアウトバウンドトラフィックを拒否し、VPC Flow Logs を有効化してトラフィックを記録する
NACLでUDPポート53をブロックすると、悪意あるドメインだけでなく正当なDNSクエリもすべて遮断されます。VPC Flow LogsはIPアドレスとポートのみを記録しDNSクエリのドメイン名を含まないため、詳細な監査ログ取得という要件も満たせません。
B Route 53 Resolver DNS Firewall のルールグループを作成して悪意あるドメインリストを登録し、対象の各 VPC に関連付けて、DNS クエリログを CloudWatch Logs に送信する
✓ 正解
Route 53 Resolver DNS Firewallはドメイン名ベースで悪意あるDNSクエリを選択的にブロックし、複数のVPCに一元的に関連付けられます。ブロック済みクエリのドメイン名・クライアントIP・タイムスタンプをCloudWatch Logsに記録でき、すべての要件を満たします。
C 各 VPC にデプロイした Application Load Balancer に AWS WAF を適用し、DNS クエリをフィルタリングするカスタムルールを設定する
AWS WAFはHTTP/HTTPSのL7トラフィックをフィルタリングするサービスであり、DNSプロトコル（UDP/TCPポート53）のクエリには適用できません。ALBへのWAF設定はDNSトンネリング対策として機能しません。
D EC2 インスタンスのセキュリティグループで DNS サーバー宛て（UDP/TCP ポート 53）のアウトバウンドルールを制限し、承認済み DNS リゾルバーの IP アドレスのみを許可する
セキュリティグループはIPアドレスとポート番号によるアクセス制御であり、DNSクエリ内のドメイン名を検査して特定ドメインのみをブロックする機能はありません。承認済みDNSサーバーへの接続制限はできますが、クエリ内容の選別はできません。
解説 Route 53 Resolver DNS Firewall は、VPC からのアウトバウンド DNS クエリをドメイン名ベースでフィルタリングする機能です。AWS マネージドのドメインリスト（マルウェア・ボットネット等）を使用するか、カスタムドメインリストを作成してルールグループに登録し、BLOCK・ALERT・ALLOW のアクションを設定できます。
ルールグループを複数の VPC に関連付けることで一元管理が可能です。DNS クエリのログは CloudWatch Logs、Amazon S3、Amazon Data Firehose に送信でき、ブロックされたクエリの詳細（ドメイン名・クライアント IP・タイムスタンプ）を含むため、セキュリティ監査に有効です。DNS トンネリング対策として特に効果的なアプローチです。
選択肢Aのネットワーク ACL は UDP ポート 53 をブロックすると悪意あるドメインだけでなく正当な DNS クエリもすべて遮断されます。また VPC Flow Logs は DNS クエリのドメイン名を記録しないため、監査目的には不十分です。
選択肢CのAWS WAF は HTTP/HTTPS（Layer 7）トラフィックをフィルタリングするサービスであり、DNS プロトコル（UDP/TCP ポート 53）のクエリには適用できません。
選択肢Dのセキュリティグループは IP アドレスとポート番号によるアクセス制御を行うため、承認済み DNS サーバーへの接続制限はできますが、クエリ内のドメイン名を検査して特定ドメインのみブロックすることはできません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →