ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある大企業のセキュリティチームは、AWS Organizations 配下の複数の本番環境 VPC において、「インターネットゲートウェイや NAT ゲートウェイを経由してプライベートサブネット内の EC2 インスタンスに直接アクセスできるネットワークパスが存在しないこと」を継続的に検証するコンプライアンス要件があります。ルートテーブル・セキュリティグループ・NACL（ネットワークアクセスコントロールリスト）を含む複合的なネットワーク構成を評価対象とし、実際のトラフィック発生前に潜在的なリスクパスを検出する必要があります。この要件を最も効率的に満たすアプローチはどれですか？
AAmazon VPC Reachability Analyzer で各プライベート EC2 インスタンスをターゲットとし、インターネットゲートウェイをソースとした到達可能性テストをすべての VPC で実行する自動化スクリプトを AWS Lambda で作成する
VPC Reachability Analyzer は、特定のソース-ターゲットペアを個別にテストするツールであり、多数の EC2 インスタンスを対象にしても網羅性の担保が難しく、構成変更時の再スキャンも非効率です。
BAWS Network Access Analyzer でアクセス スコープを「インターネットゲートウェイからプライベートサブネットの EC2 インスタンスへの経路」として定義し、AWS Organizations 全体に対してスキャンを実行して検出結果を AWS Security Hub に集約する
✓ 正解
AWS Network Access Analyzer は、実際のトラフィックではなくネットワーク構成（ルートテーブル・セキュリティグループ・NACL）を静的に分析し、意図しないネットワークアクセスパスを検出するサービスです。アクセス スコープを定義することで対象環境全体を一括スキャンでき、Organizations 統合と Security Hub への集約により大規模環境でのコンプライアンス継続監視が効率的に実現できます。
CVPC Flow Logs を全 VPC で有効化し、Amazon Athena で送信元が 0.0.0.0/0 のインバウンドトラフィックを定期的にクエリして未承認アクセスを検出する
VPC Flow Logs は、実際に発生したトラフィックの記録であり、「到達可能なパスが設定上存在するか」という潜在リスクの事前検出には使用できません。
DAWS Config のマネージドルール「restricted-ssh」と「restricted-common-ports」を全アカウントに適用し、セキュリティグループの不正設定をリアルタイムに検出する
AWS Config ルール は、セキュリティグループ単体の設定を検査しますが、ルートテーブルや NACL を含む複合的なネットワーク構成による実際の到達可能性は評価できません。
解説
AWS Network Access Analyzer は、実際のトラフィックではなくネットワーク構成（ルートテーブル・セキュリティグループ・NACL）を静的に分析し、意図しないネットワークアクセスパスを検出するサービスです。アクセス スコープを定義することで対象環境全体を一括スキャンでき、Organizations 統合と Security Hub への集約により大規模環境でのコンプライアンス継続監視が効率的に実現できます。
選択肢Aの VPC Reachability Analyzer は、特定のソース-ターゲットペアを個別にテストするツールであり、多数の EC2 インスタンスを対象にしても網羅性の担保が難しく、構成変更時の再スキャンも非効率です。
選択肢Cの VPC Flow Logs は、実際に発生したトラフィックの記録であり、「到達可能なパスが設定上存在するか」という潜在リスクの事前検出には使用できません。
選択肢Dの AWS Config ルール は、セキュリティグループ単体の設定を検査しますが、ルートテーブルや NACL を含む複合的なネットワーク構成による実際の到達可能性は評価できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →