ANSネットワーク設計
ある大企業のネットワークセキュリティチームは、本番VPCにおいて「インターネットゲートウェイから、データベース層のEC2インスタンス（タグ：Tier=Database）へ到達可能な意図しないネットワーク経路が存在しないこと」を継続的に検証するプロセスを自動化したいと考えています。実際のトラフィックが発生していない場合でも、設定上のリスクを事前に検出することが要件です。この要件を最も適切に満たすAWSサービスと利用方法はどれですか？
AVPC Flow LogsをCloudWatch Logsに送信し、Metric Filterでインターネット送信元IPからデータベースEC2インスタンスへのACCEPTトラフィックをカウントするアラームを設定する
VPC Flow Logsは実際に発生したトラフィックのみを記録するため、設定上は許可されているが使用されていない潜在的なセキュリティリスク（危険な経路）を検出できません。
BAWS Network Access Analyzerでスコープを「Internet GatewayからタグTier=DatabaseのEC2インスタンスへのアクセスパス」として定義し、定期的に分析を実行して意図しないアクセスパスを検出する
✓ 正解
AWS Network Access AnalyzerはVPCの静的な設定（セキュリティグループ、NACL、ルートテーブル）を分析して、論理的に到達可能なパスが存在するかを事前に検出します。実際のトラフィックなしにリスクを特定できます。
CAmazon InspectorのEC2スキャンを全インスタンスに対して有効化し、インターネットから到達可能なポートのネットワーク到達性調査結果を定期的に確認する
Amazon Inspectorの EC2スキャンは個別インスタンスのポート到達性を評価しますが、特定タグのリソースセットを対象とした横断的な分析はNetwork Access Analyzerほど柔軟ではありません。
DAWS Reachability Analyzerで、各インターネットゲートウェイをソース、各データベースEC2インスタンスをターゲットとして個別に分析パスを作成し、到達可能なパスがないことを確認する
Reachability Analyzerは特定の1対1パスを詳細に分析するため、多数のデータベースインスタンスがある場合は全ペアを個別に設定する必要があり、自動化と横断的な検証に不向きです。
解説
AWS Network Access Analyzerは、VPCのネットワーク設定（セキュリティグループ、NACL、ルートテーブル）を静的に分析して「論理的に到達可能なパスが存在するか」を検出するサービスです。実際のトラフィックが発生していなくても設定上のリスクを事前検出できます。スコープとして「ソース：Internet Gateway」「ターゲット：タグTier=DatabaseのEC2インスタンス」を定義し、VPC全体を横断的に分析して意図しないアクセスパスをすべて検出します。EventBridgeとLambdaを組み合わせた定期実行による継続的な検証も可能です。
選択肢AのVPC Flow Logsは実際に発生したトラフィックのみを記録するため、設定上は存在するが実際には使われていない危険な経路を検出できない。
選択肢CのAmazon Inspectorは個別インスタンスのポート到達性を評価するが、カスタムスコープ（特定タグのリソースセット）を定義した横断的な分析はNetwork Access Analyzerほど柔軟でない。
選択肢DのReachability Analyzerは特定の1対1パスを詳細分析するが、多数のデータベースインスタンスがある場合は全ペアを個別設定する必要があり自動化に不向き。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →