ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業のセキュリティチームは、VPC 内の EC2 インスタンスが侵害された際に、DNS クエリを悪意のあるドメインへ解決できないようにすること（DNS データエクスフィルトレーション（データ持ち出し）の防止）を求めています。要件は以下の通りです：
・AWS が管理する脅威インテリジェンスドメインリスト（マルウェア、フィッシング等）を利用したい
・ブロックされた DNS クエリに対して NODATA レスポンスを返したい
・追加のカスタムドメインリストも適用したい
・設定を Organization 内の複数 VPC に低い運用オーバーヘッドで展開したい
最も適切な実装方法はどれですか？
ARoute 53 Resolver DNS Firewall でルールグループを作成し、AWS マネージドドメインリストとカスタムドメインリストを組み合わせたルールに BLOCK（OVERRIDE で NODATA）アクションを設定する。AWS Resource Access Manager（RAM）を使用してルールグループを Organization 内の複数の VPC と共有する。
✓ 正解
Route 53 Resolver DNS Firewall は、VPC 内の Route 53 Resolver（VPC の .2 アドレス）を通過する DNS クエリをフィルタリングするマネージドサービスで、DNS データエクスフィルトレーション防止に最適です。AWS マネージドドメインリストは自動更新されるため維持管理が不要で、BLOCK アクションの OVERRIDE オプションで NODATA を返せます。RAM によるルールグループ共有により、複数 VPC への一元展開が可能です。
BAWS Network Firewall のステートフルルールグループで Suricata 互換の DNS キーワードマッチングルールを作成し、ポート 53 の DNS トラフィックをサブネットレベルでフィルタリングする。
AWS Network Firewall はサブネット境界でのトラフィックフィルタリングが得意ですが、VPC 内部の Route 53 Resolver を経由するクエリを直接インターセプトするには複雑なルーティング変更が必要です。
CRoute 53 Resolver のアウトバウンドエンドポイントを設定し、VPC からのすべての DNS クエリを社内管理のフィルタリング DNS サーバーに転送する。社内 DNS サーバー側でドメインフィルタリングを実施する。
Route 53 Resolver アウトバウンドエンドポイント経由でカスタム DNS サーバーに転送する構成は実現可能ですが、サーバーの管理コストが高く、AWS マネージドドメインリストの自動更新機能が活用できません。
DVPC Flow Logs を有効化し、ポート 53 の異常なトラフィックを CloudWatch Logs Insights と CloudWatch Alarms でリアルタイム検出・アラートする。
VPC Flow Logs は既発生のトラフィックを記録するもので、DNS クエリの解決自体を防止できず予防的コントロールとして不十分です。
解説
Route 53 Resolver DNS Firewall は、VPC 内の Route 53 Resolver（VPC の .2 アドレス）を通過する DNS クエリをフィルタリングするマネージドサービスで、DNS データエクスフィルトレーション防止に最適です。AWS マネージドドメインリストは自動更新されるため維持管理が不要で、BLOCK アクションの OVERRIDE オプションで NODATA を返せます。RAM によるルールグループ共有により、複数 VPC への一元展開が可能です。
選択肢Bの AWS Network Firewall はサブネット境界でのトラフィックフィルタリングが得意ですが、VPC 内部の Route 53 Resolver を経由するクエリを直接インターセプトするには複雑なルーティング変更が必要です。
選択肢Cのカスタム DNS サーバーへの転送は実現可能ですが、サーバーの管理コストが高く、AWS マネージドドメインリストの自動更新機能が活用できません。
選択肢DのVPC Flow Logs は既発生のトラフィックを記録するもので、DNS クエリの解決自体を防止できず予防的コントロールとして不十分です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →