ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある医療機関は、AWS上の研究用VPCでEC2インスタンスを運用しています。セキュリティチームから以下の要件が提示されました。
・マルウェアのC&C（コマンド＆コントロール）サーバーへの通信を防ぐため、既知の悪意あるドメインへのDNSクエリをブロックすること
・DNSを使ったデータ持ち出し（DNS exfiltration）を検知・防止すること
・ブロックされたクエリをCloudWatch Logsに記録し、セキュリティチームがアラートを受け取れるようにすること
・脅威インテリジェンスの更新など管理コストを最小限にすること
最も効果的かつ管理コストが低い実装方法はどれですか？
AVPCのDHCPオプションセットを変更して社内の独自DNSサーバーを指定し、そのサーバーでブラックリストフィルタリングを実装する。CloudWatchエージェントでDNSサーバーのログをCloudWatch Logsに送信する。
カスタムDNSサーバーは、高可用性構成の維持と脅威インテリジェンスの継続的な手動更新が必要で管理コストが大幅に増加します。
BAWS Network Firewallにカスタムのsuricataルールを作成し、DNSトラフィック（UDP/TCPポート53）を検査して既知の悪意あるドメインパターンをブロックする。アラートログをS3に送信してAthenaでクエリする。
Network Firewallは強力なL7検査が可能ですが、Suricataルールの作成・維持コストが高く、暗号化されたDNS通信への対応も追加設定が必要です。DNS専用のRoute 53 Resolver DNS Firewallより適切ではありません。
CRoute 53 Resolver DNS Firewallを設定し、AWSマネージドドメインリスト（AWSManagedDomainsMalwareDomainListAggregated等）を使用してブロックルールを作成する。Resolverクエリログ機能でCloudWatch Logsにログを送信し、メトリクスフィルターでアラームを作成する。
✓ 正解
Route 53 Resolver DNS Firewallは、VPC内のEC2インスタンスからのDNSクエリをリアルタイムでフィルタリングするマネージドサービスです。AWSが継続的に更新するマネージドドメインリスト（マルウェアC&Cドメイン・フィッシングサイト等）を活用することで脅威インテリジェンスの手動更新作業が不要となり、管理コストを最小化できます。Resolverクエリログを有効化するとブロック記録を含む全クエリログがCloudWatch Logsへ送信され、メトリクスフィルターでアラームを設定できます。
DAmazon GuardDutyを有効にしてVPC Flow LogsとDNSログを分析させ、悪意あるドメインへの通信を検知させる。GuardDutyのfindingに対してEventBridgeルールでLambdaを起動し、Security Groupを更新してインスタンスを隔離する。
GuardDutyは事後検知（リアクティブ）アプローチであり、DNSクエリをリアルタイムでブロックするプリエンプティブな要件を満たしません。
解説
Route 53 Resolver DNS Firewallは、VPC内のEC2インスタンスからのDNSクエリをリアルタイムでフィルタリングするマネージドサービスです。AWSが継続的に更新するマネージドドメインリスト（マルウェアC&Cドメイン・フィッシングサイト等）を活用することで脅威インテリジェンスの手動更新作業が不要となり、管理コストを最小化できます。Resolverクエリログを有効化するとブロック記録を含む全クエリログがCloudWatch Logsへ送信され、メトリクスフィルターでアラームを設定できます。
選択肢AのカスタムDNSサーバーは、高可用性構成の維持と脅威インテリジェンスの継続的な手動更新が必要で管理コストが大幅に増加します。
選択肢BのNetwork Firewallは強力なL7検査が可能ですが、Suricataルールの作成・維持コストが高く、暗号化されたDNS通信への対応も追加設定が必要です。DNS専用のRoute 53 Resolver DNS Firewallより適切ではありません。
選択肢DのGuardDutyは事後検知（リアクティブ）アプローチであり、DNSクエリをリアルタイムでブロックするプリエンプティブな要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →