解説

AWS Network Access Analyzerは、VPCのネットワーク設定（Security Group、ルートテーブル、NACL、VPCピアリングなど）を静的に分析し、定義した「ネットワークアクセススコープ（Network Access Scope）」に一致する意図しないアクセス経路を自動的に検出するサービスです。 ネットワークアクセススコープでは「送信元：インターネットゲートウェイ」「宛先：RDS/ElastiCacheのセキュリティグループ」のようにポリシー条件を定義できます。実際のトラフィックが発生していない状態でも設定ベースの静的分析で潜在的な経路を検出できるため、事前のコンプライアンス検証や継続的な設定監査に最適です。 選択肢AのAmazon GuardDutyは、実際に発生したトラフィックのログから脅威を検出する動的サービスであり、まだトラフィックが流れていない「潜在的な設定ミス」による経路は検出できません。 選択肢BのVPC Reachability Analyzerは、指定した1組の送信元と宛先間の接続性を個別に検証するサービスです。数十台のリソースを対象とした大規模なポリシー監査には不向きで、定義・実行の運用コストが高くなります。 選択肢DのAWS Configのマネージドルールは、Security Groupなど個々のリソース設定値を評価できますが、複数コンポーネントにまたがるエンドツーエンドのネットワーク到達可能性を総合的に分析する機能はありません。