ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業のセキュリティチームは、すべての VPC において SSH（ポート 22）へのインバウンドアクセスを任意の IP アドレス（0.0.0.0/0）に開放しているセキュリティグループルールを継続的に検出し、違反を発見した時点で自動的に当該ルールを削除する仕組みを最小限のカスタム開発で実現したいと考えています。最も適切なアーキテクチャはどれですか？
AAmazon Inspector ネットワーク到達可能性評価を毎日スケジュール実行し、レポートを S3 に保存してセキュリティチームが手動でセキュリティグループルールを修正する
Amazon Inspectorのネットワーク到達可能性評価は毎日の定期実行であり、セキュリティグループ変更への即時対応が不可能。手動修正も必要なため、継続的かつリアルタイムな違反ルールの自動削除という要件を満たさない。
BAWS Config マネージドルール（restricted-ssh）を変更トリガーで継続的に評価し、修復アクションとして AWS Systems Manager Automation ドキュメント AWS-DisablePublicAccessForSecurityGroup を設定して違反ルールを自動削除する
✓ 正解
restricted-sshマネージドルールが変更トリガーでセキュリティグループの変更をほぼリアルタイムに検出し、SSM Automationドキュメントが違反ルールを自動削除する。カスタムコード不要で継続的なコンプライアンス証跡も残せる最適な構成。
CVPC Flow Logs を有効にして CloudWatch Logs に送信し、メトリクスフィルターでポート 22 への 0.0.0.0/0 からのトラフィックを検出したら SNS でアラートを発行してセキュリティチームに通知する
VPC Flow Logsは実際に発生したトラフィックを記録するサービスであり、セキュリティグループのルール設定自体を評価する機能を持たない。SNS通知のみでは自動修復の要件も満たさず、手動対応が引き続き必要となる。
DAmazon GuardDuty を有効にして不審なリモートアクセス試行を検出し、EventBridge で Lambda をトリガーしてセキュリティグループルールを削除する
Amazon GuardDutyは実際のネットワーク動作から脅威を事後的に検出するサービスであり、セキュリティグループの設定変更をリアルタイムに評価して予防的に違反ルールを削除する機能は提供していない。
解説
AWS Config の継続的評価（変更トリガー）とマネージドルールを組み合わせることで、セキュリティグループの設定変更をほぼリアルタイムに検出し、SSM Automation ドキュメントによる自動修復まで一気通貫で実現できます。
restricted-ssh ルールはセキュリティグループの変更イベントをトリガーに評価を実行し、SSH への 0.0.0.0/0 開放を NON_COMPLIANT として記録します。
Config 修復アクションに SSM Automation ドキュメント（AWS-DisablePublicAccessForSecurityGroup）を設定すると、違反検出後に自動的に当該ルールを削除します。
この仕組みはカスタムコードを書かずに実現でき、継続的なコンプライアンス状態の証跡も Config コンソール・API 経由で確認できます。
選択肢AのAmazon Inspector は到達可能なポートと経路を評価できますが、定期実行後の手動修正では変更後の即座な検出・自動修復が実現できず、継続的なリアルタイムコンプライアンス管理の要件を満たしません。
選択肢CのVPC Flow Logs はトラフィックの発生を記録しますが、セキュリティグループのルール設定自体を評価する機能はなく、SNS 通知のみでは自動修復の要件を満たしません。
選択肢DのAmazon GuardDuty は実際のネットワーク動作から脅威を事後検出しますが、セキュリティグループの設定変更を設定時点でリアルタイムに評価して違反ルールを自動削除する予防的コントロールには使えません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →