ANSネットワーク管理と運用
ある企業は、単一VPC内で稼働する決済アプリケーションのセキュリティインシデントを調査しています。運用チームは、特定のEC2インスタンス群が外部と行う通信について、TCPフラグやアプリケーション層のペイロードを含む完全なパケット内容を取得し、既存のオープンソースIDSアプライアンス（別のEC2インスタンス上で稼働）へ継続的に送ってリアルタイム分析する必要があります。分析対象はENI単位で選別し、本番トラフィックへの影響を最小化したいと考えています。この要件に最も適した方法はどれですか。
A対象EC2インスタンスのENIを送信元とするVPC Traffic Mirroring セッションを作成し、フィルタで対象トラフィックを絞り込んだうえでミラー先をIDSアプライアンスのENIに設定する
✓ 正解
VPC Traffic Mirroring はENIを送信元に完全なパケット（ペイロード・TCPフラグ含む）をコピーし、フィルタで対象を絞ってミラーターゲットのENIへ送れる。ENI単位選別とIDSへの継続的リアルタイム転送という要件を過不足なく満たす。
B対象EC2インスタンスが属するサブネットにVPC Flow Logs（カスタム形式・最大集約間隔）を設定し、S3に出力されたログをIDSアプライアンスが定期的に取得して解析する
VPC Flow Logs はENIやサブネットの通信メタデータ（IP・ポート・バイト数・許可/拒否等）のみを集約記録し、パケットのペイロードやTCPフラグは含まれない。深いパケット検査が必要な本要件には情報が不足する。
C対象ENIでReachability Analyzer の継続的な経路分析を有効化し、生成されるパケットレベルのトレースをIDSアプライアンスへストリーミングして解析する
Reachability Analyzer はルートテーブルやセキュリティグループ等の構成を解析して到達可能性を静的に判定するツールで、実際のパケットをキャプチャして外部へストリーミングする機能を持たないため要件を満たさない。
D対象EC2インスタンスをGateway Load Balancer のターゲットグループに登録し、GENEVEでカプセル化したトラフィックのコピーをIDSアプライアンスへ転送して解析する
Gateway Load Balancer はトラフィックを経路上でインラインにセキュリティアプライアンスへ転送する構成で、既存EC2をターゲット登録し非破壊的にコピーのみ取得する用途とは前提が異なる。パケットコピーのミラーリング要件には適さない。
解説
VPC Traffic Mirroring は、ENI単位でパケットのコピーを取得し、TCPフラグやアプリケーション層ペイロードを含む完全なパケット内容をミラーターゲット（ENIやNLB）へ転送できます。ミラーフィルタで対象トラフィックを絞り込めるため本番への影響を抑えつつ、IDSやパケット解析ツールへリアルタイムに送って深いパケット検査を行えます。要件（完全パケット・ENI単位選別・IDSへ継続送信）に合致します。
選択肢BのVPC Flow Logs はIPヘッダー由来のメタデータ（送信元/宛先、ポート、バイト数等）のみを記録し、ペイロードやTCPフラグの完全な内容は取得できないため、パケット内容の解析要件を満たさない。
選択肢CのReachability Analyzer は構成ベースで到達可能性を静的に検証するツールであり、実トラフィックのパケットをキャプチャ・ストリーミングする機能はない。
選択肢DのGateway Load Balancer はインラインでトラフィックをIDS/IPSアプライアンスへ転送する仕組みだが、これはトラフィックの経路上に配置してコピーではなく実トラフィックを通す構成であり、既存インスタンスをターゲット登録して非インラインでコピーだけ得る用途には適さない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →