ANSネットワーク管理と運用
あるセキュリティ監査チームは、AWS環境全体（30個のVPC）に対して「インターネットゲートウェイからプライベートサブネット内のデータベースインスタンス（ポート3306）への意図しないネットワークアクセスパスが存在しないか」を事前に検証する必要があります。実際にトラフィックが流れているかどうかではなく、ルートテーブルやセキュリティグループの設定上アクセスが論理的に「可能な状態にないか」を確認することが目的です。最も適切なアプローチはどれですか？
AAWS Network Access Analyzerを使用し、インターネットゲートウェイをネットワークアクセススコープのソースとして、ポート3306へのアクセスをデスティネーション条件として定義し、30個のVPC全体を対象に分析を実行して意図しないパスを特定する
✓ 正解
AWS Network Access Analyzerは複数VPCを一括スキャンして意図しないアクセスパスを特定する静的分析サービス。実トラフィック送信なしで論理的到達可能性を事前検証でき、大規模環境向きです。
BAWS Reachability Analyzerを使用し、各インターネットゲートウェイとDBインスタンスのENIの全組み合わせに対して個別に分析を実行し（30VPC×DBインスタンス数の分析）、到達可能なパスをすべて特定する
AWS Reachability Analyzerは特定ペアの1対1検証用であり、30VPC×複数DBの全組み合わせを個別実行するのは非現実的。大規模環境では効率性が低く、検証完了に時間がかかります。
CAmazon GuardDutyを有効化してUnauthorizedAccessファミリーの検出ルールを設定し、DBインスタンスへのインターネットからの不正アクセス試行を検出することで意図しないアクセスパスを特定する
Amazon GuardDutyは実際の攻撃・不正アクセスをリアルタイム検出するリアクティブサービス。設定上の潜在的アクセス可能性（未悪用リスク）の事前検証には使用できません。
DVPC Flow Logsを全VPCで有効化し、Amazon Athenaでポート3306宛てのインターネット発トラフィックをクエリして過去30日間に実際にアクセスがあったDBインスタンスを特定する
VPC Flow Logsは実トラフィックのみを記録するため、設定上アクセス可能だが実トラフィック未発生ケースを発見できません。過去ログでは現在の設定リスクをすべて把握できません。
解説
AWS Network Access Analyzerは、ルートテーブル・セキュリティグループ・NACLなどのネットワーク設定を静的に分析し、意図しないネットワークアクセスパスを特定するサービスです。複数のVPCを一括でスキャンでき、実際にトラフィックを流すことなく「論理的に到達可能かどうか」を事前検証できます。
選択肢BのReachability Analyzerは特定のソースとデスティネーションのペアを1対1で検証するサービスです。30VPC×複数DBの全組み合わせを個別実行するのは非現実的であり、大規模環境向きではありません。
選択肢CのAmazon GuardDutyは実際の攻撃・不正アクセスの試みをリアルタイムに検出するリアクティブなサービスです。設定上の潜在的アクセス可能性（まだ悪用されていないリスク）を事前検証する目的には使用できません。
選択肢DのVPC Flow Logsは実際に発生したトラフィックのみを記録するため、「設定上アクセス可能だが実際にはトラフィックが流れていない」ケースを発見できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →