ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は、Transit Gateway 配下の集約型インスペクション VPC に AWS Network Firewall を配置し、全 VPC からの送信インターネット通信を一元検査している。セキュリティ要件として、送信 HTTPS(TCP 443) を、許可リストに登録した特定の FQDN 群のみに制限したい。ただし通信ペイロードの復号は行わず、証明書管理などの運用負荷を最小化する必要がある。宛先の FQDN が解決する IP アドレスは頻繁に変化する。この要件を満たす構成はどれか。
AAWS Network Firewall のステートフルルールグループでドメインリスト(許可リスト)型を作成し、暗号化された HTTPS の SNI に基づいて許可対象 FQDN 以外への通信をドロップする。
✓ 正解
ドメインリスト型ステートフルルールは HTTPS の SNI を参照するため、復号せずに FQDN 単位で許可リスト制御ができる。証明書管理が不要で運用負荷が小さく、宛先 IP の変動にも FQDN ベースで追従できるため全要件を満たす。
BAWS Network Firewall に TLS インスペクション設定を関連付け、ACM の証明書で送信 HTTPS を復号したうえで Suricata 互換ルールにより宛先ドメインを照合してフィルタリングする。
TLS インスペクション設定は ACM 証明書で HTTPS を復号してから検査する構成であり、機能的にはドメイン照合できるが「復号を行わない」「証明書管理の運用負荷を最小化する」という要件に真っ向から反するため不適切。
CAWS Network Firewall のステートレスルールグループで宛先 IP と TCP 443 を照合し、許可 FQDN が解決した IP アドレス範囲のみを通過させるルールを定義する。
ステートレスルールグループは送信元/宛先 IP・ポートなどの 5 タプルのみを評価し、FQDN や SNI を判定できない。頻繁に変わる解決先 IP を静的に列挙する運用も破綻するため要件を満たせない。
DAWS Network Firewall のステートフルルールグループで 5 タプルベースのルールを作成し、送信元 VPC の CIDR と宛先ポート 443 を条件に許可リスト方式で通信を制御する。
5 タプルベースのステートフルルールは CIDR とポートによる制御に限られ、FQDN の許可リストを表現できない。送信元 VPC と 443 の許可では特定ドメインのみへの制限という要件を実現できない。
解説
AWS Network Firewall のステートフルルールグループにあるドメインリスト型は、HTTPS の TLS ハンドシェイクに含まれる SNI(Server Name Indication) を参照して宛先 FQDN を判定する。
これによりペイロードを復号せずに FQDN 単位の許可/拒否が可能で、証明書管理が不要なため運用負荷を最小化できる。宛先 IP が変動しても FQDN で制御できる点も要件に合致する。
選択肢Bの TLS インスペクション設定は、証明書を用いて HTTPS を復号する構成であり「復号しない・運用負荷最小」という要件に反する。
選択肢Cのステートレスルールグループは 5 タプル(IP/ポート等)のみを扱い FQDN を判定できず、変動する IP の追従も現実的でない。
選択肢Dの 5 タプルベースのステートフルルールは CIDR とポートでの制御に留まり、FQDN 単位のフィルタリングができない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →