ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は、AWS Organizations で管理する全 AWS アカウントに対して、セキュリティグループのコンプライアンス監視と自動修復を実装します。以下の要件があります。
・全アカウントのセキュリティグループで 0.0.0.0/0 からの SSH（ポート 22）および RDP（ポート 3389）アクセスを許可するインバウンドルールを自動検知する
・違反ルールを自動的に削除して準拠状態に戻す（自動修復）
・AWS Organizations に新規アカウントが追加された場合も自動的に適用範囲に含める
・Lambda 関数等のカスタム開発を最小化してマネージドサービスを活用する
この要件を最も適切に満たすサービスはどれですか？
AAWS Firewall Manager のセキュリティグループコンテンツ監査ポリシーを Organizations の管理アカウントから適用し、不準拠ルールの自動修復を有効化する
✓ 正解
AWS Firewall Manager のセキュリティグループコンテンツ監査ポリシーは、Organizations 内の全アカウントのセキュリティグループを継続的に監視し、過剰に許可されたインバウンドルール（0.0.0.0/0 からの SSH/RDP 等）を自動的に削除できます。Organizations と統合されているため新規アカウント追加時も自動適用され、Lambda 等のカスタム開発は不要です。
BAWS Config のマネージドルール（restricted-ssh）を Organizations Conformance Pack として全アカウントに展開し、Systems Manager Automation で自動修復する
AWS Config の Conformance Pack は Organizations 全体への展開が可能ですが、自動修復には Systems Manager Automation Runbook の設定が必要であり、カスタム開発工数が発生します。
CAmazon GuardDuty の脅威インテリジェンスで不正なセキュリティグループ変更を検出し、Amazon EventBridge と Lambda で自動修復する
Amazon GuardDuty は外部からの脅威や異常な動作を検出するサービスであり、セキュリティグループの設定ポリシー準拠管理や自動修復には適していません。EventBridge + Lambda による修復も追加のカスタム開発が必要です。
DAWS Security Hub の AWS 基礎セキュリティベストプラクティス標準を全アカウントで有効化し、セキュリティグループの違反をセキュリティスコアで管理する
AWS Security Hub はセキュリティ体制の可視化と調査ツールであり、セキュリティスコアの提供や違反の検出は行いますが、セキュリティグループルールの自動修復機能は持っていません。
解説
AWS Firewall Manager のセキュリティグループコンテンツ監査ポリシーは、Organizations 内の全アカウントのセキュリティグループを継続的に監視し、過剰に許可されたインバウンドルール（0.0.0.0/0 からの SSH/RDP 等）を自動的に削除できます。Organizations と統合されているため新規アカウント追加時も自動適用され、Lambda 等のカスタム開発は不要です。
選択肢BのAWS Config の Conformance Pack は Organizations 全体への展開が可能ですが、自動修復には Systems Manager Automation Runbook の設定が必要であり、カスタム開発工数が発生します。
選択肢CのAmazon GuardDuty は外部からの脅威や異常な動作を検出するサービスであり、セキュリティグループの設定ポリシー準拠管理や自動修復には適していません。EventBridge + Lambda による修復も追加のカスタム開発が必要です。
選択肢DのAWS Security Hub はセキュリティ体制の可視化と調査ツールであり、セキュリティスコアの提供や違反の検出は行いますが、セキュリティグループルールの自動修復機能は持っていません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →