ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある金融機関は、インターネットへのアウトバウンドトラフィックを集中検査するため、検査専用VPCにAWS Network Firewallをデプロイし、AWS Transit Gatewayで各ワークロードVPCを接続しています。セキュリティチームは以下の要件を満たす必要があります。
・HTTPS（TLS暗号化）通信を復号し、マルウェアシグネチャや悪意のあるドメインへのアクセスをペイロードレベルで検出する
・検査後のトラフィックを再暗号化してインターネットに転送する
・プライベートCA証明書を使用して内部的に復号を行い、追加のコンポーネントを最小限に抑える
これを実現するための正しい構成はどれですか？
ANetwork Firewall のステートフルルールエンジン（Suricata）にドメインリストルールを設定し、TLSハンドシェイクのSNIフィールドを解析することで悪意のあるドメインへのHTTPS通信をブロックする
Network Firewallステートフルルール（Suricata）は、TLSハンドシェイクのSNIフィールドから接続先ドメイン名を確認できますが、暗号化されたペイロード内のマルウェアシグネチャは検出できず、要件を満たしません。
BNetwork Firewall の TLS インスペクション設定（TLS Inspection Configuration）を作成し、AWS Certificate Manager プライベート CA から発行した証明書を使用してアウトバウンドTLS通信を復号・検査・再暗号化する
✓ 正解
AWS Network FirewallはTLSインスペクション設定をサポートしており、ACMプライベートCAが発行した証明書を用いてアウトバウンドTLS通信を復号し、Suricataステートフルエンジンでマルウェアシグネチャや不正ドメインをペイロードレベルで検出した後、再暗号化してインターネットへ転送できます。追加のコンポーネント不要で要件を満たす最適な構成です。
C検査VPCにApplication Load Balancerを配置してTLSを終端し、プレーンテキストのHTTPをNetwork Firewallで検査した後、インターネット向けにALBで再暗号化する
Application Load Balancer（ALB）は、インターネット向けアウトバウンドトラフィックの再暗号化には適しておらず、集中検査アーキテクチャとして構成が複雑になり不適切です。
DAWS WAFのマネージドルールグループをTransit GatewayアタッチメントにアタッチしてHTTPSペイロードを検査し、Network Firewallはレイヤー4フィルタリングとして補助的に使用する
AWS WAFはTransit Gatewayに直接アタッチできません。WAFはALB・CloudFront・API Gatewayなど特定のサービスにのみアタッチ可能なサービスです。
解説
AWS Network FirewallはTLSインスペクション設定をサポートしており、ACMプライベートCAが発行した証明書を用いてアウトバウンドTLS通信を復号し、Suricataステートフルエンジンでマルウェアシグネチャや不正ドメインをペイロードレベルで検出した後、再暗号化してインターネットへ転送できます。追加のコンポーネント不要で要件を満たす最適な構成です。
選択肢AのNetwork Firewallステートフルルール（Suricata）は、TLSハンドシェイクのSNIフィールドから接続先ドメイン名を確認できますが、暗号化されたペイロード内のマルウェアシグネチャは検出できず、要件を満たしません。
選択肢CのApplication Load Balancer（ALB）は、インターネット向けアウトバウンドトラフィックの再暗号化には適しておらず、集中検査アーキテクチャとして構成が複雑になり不適切です。
選択肢DのAWS WAFはTransit Gatewayに直接アタッチできません。WAFはALB・CloudFront・API Gatewayなど特定のサービスにのみアタッチ可能なサービスです。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →