ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業のコンプライアンス担当者は、PCI DSS（Payment Card Industry Data Security Standard: クレジットカード業界のセキュリティ基準）の監査対応として、カード会員データを格納する Amazon RDS インスタンスがインターネットから直接到達不可能であることを証明する必要があります。監査人からは「実際のトラフィックログではなく、ネットワーク設定を静的に分析した証明資料」が求められています。最も適切なアプローチはどれですか？
AVPC Flow Logs を RDS インスタンスの ENI（Elastic Network Interface）に対して有効化し、過去 90 日間のログを分析して外部 IP アドレスからの接続試行が存在しないことを CloudWatch Logs Insights で確認し、監査資料として提出する。
VPC Flow Logs は、実際に発生したトラフィックの記録であり、トラフィックがなかったことを示しても「接続が設定上不可能である」という証明にはなりません。監査では設定に基づく静的な証明が求められます。
BAWS Network Access Analyzer でネットワークアクセススコープを作成し、ソースとして「インターネットゲートウェイ」、デスティネーションとして「RDS インスタンスの ENI」を指定して分析を実行する。到達可能なネットワークパスが検出されないことで、インターネットからの直接アクセス不可能を静的に証明し、レポートをエクスポートする。
✓ 正解
AWS Network Access Analyzer は、VPC のネットワーク設定（ルートテーブル・セキュリティグループ・NACL・VPC ピアリング設定等）を静的に分析し、指定した送信元から送信先への到達可能なパスを特定するサービスです。
CAmazon Inspector のネットワーク到達可能性（Network Reachability）評価を RDS インスタンスに対して実行し、インターネットから到達可能なポートが存在しないことをレポートとして出力する。
Amazon Inspector のネットワーク到達可能性評価は、EC2 インスタンスを対象としたサービスであり、RDS インスタンスには適用できません。
DAWS Trusted Advisor の「セキュリティグループ - 特定ポートへの無制限アクセス」チェックを実行し、RDS に関連付けられたセキュリティグループに無制限アクセスのルールがないことを確認して監査証跡として使用する。
Trusted Advisor のセキュリティグループチェックは、セキュリティグループのルール単体を確認しますが、ルートテーブルや NACL を含む包括的なネットワークパス分析はできず、設定上の到達可否を証明する資料としては不十分です。
解説
AWS Network Access Analyzer は、VPC のネットワーク設定（ルートテーブル・セキュリティグループ・NACL・VPC ピアリング設定等）を静的に分析し、指定した送信元から送信先への到達可能なパスを特定するサービスです。
選択肢A の VPC Flow Logs は、実際に発生したトラフィックの記録であり、トラフィックがなかったことを示しても「接続が設定上不可能である」という証明にはなりません。監査では設定に基づく静的な証明が求められます。
選択肢C の Amazon Inspector のネットワーク到達可能性評価は、EC2 インスタンスを対象としたサービスであり、RDS インスタンスには適用できません。
選択肢D の Trusted Advisor のセキュリティグループチェックは、セキュリティグループのルール単体を確認しますが、ルートテーブルや NACL を含む包括的なネットワークパス分析はできず、設定上の到達可否を証明する資料としては不十分です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →