ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は 20 個の VPC に EC2 インスタンスを展開しており、すべての S3 通信に VPC Gateway Endpoint を使用しています。各 VPC のルートテーブルでは S3 宛てトラフィックはゲートウェイエンドポイント経由のみに設定されています。
セキュリティチームは、マルウェアに感染した EC2 インスタンスが自社 AWS Organization 外の S3 バケットへデータを持ち出すことを防ぐため、VPC エンドポイント経由でアクセスできる S3 バケットを自社組織内のバケットに限定したいと考えています。
最も効果的な解決策はどれですか？
AVPC Gateway Endpoint ポリシーに aws:ResourceOrgID 条件キーを設定し、自社 AWS Organization に属する S3 バケットへのアクセスのみを許可する
✓ 正解
aws:ResourceOrgID 条件キーを VPC Gateway Endpoint ポリシーに適用すると、エンドポイント経由でアクセスできる S3 リソースを自社 AWS Organization 内のバケットに限定でき、組織外バケットへのデータ持ち出しをエンドポイント層で予防できる。
B自社が所有するすべての S3 バケットポリシーに aws:PrincipalOrgID 条件を追加し、組織外の Principal からの読み書きを拒否する
自社バケットへの外部アクセスを防ぐ制御であり、EC2 が組織外バケットへアクセスすること自体は防げない。
CEC2 インスタンスの IAM ロールポリシーで、自社固有の命名プレフィックスを持つバケット名へのアクセスのみを許可する
バケット命名規則がセキュリティ制御にならず、攻撃者が類似名バケットを作成することで容易に回避可能。
DAWS Config マネージドルール s3-bucket-public-access-prohibited を有効にし、S3 バケットへの外部アクセスを検出・通知する
設定違反を検出するリアクティブな制御であり、データ持ち出しを未然に防ぐ予防的制御ではない。
解説
aws:ResourceOrgID 条件キーを VPC Gateway Endpoint ポリシーに適用すると、エンドポイント経由でアクセスできる S3 リソースを自社 AWS Organization 内のバケットに限定でき、組織外バケットへのデータ持ち出しをエンドポイント層で予防できる。
選択肢Bは自社バケットへの外部アクセスを防ぐ制御であり、EC2 が組織外バケットへアクセスすること自体は防げない。
選択肢Cはバケット命名規則がセキュリティ制御にならず、攻撃者が類似名バケットを作成することで容易に回避可能。
選択肢Dは設定違反を検出するリアクティブな制御であり、データ持ち出しを未然に防ぐ予防的制御ではない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →