解説

AWS Network Access Analyzer は、特定のソース/デスティネーション ENI を指定することなく、定義したアクセス範囲（スコープ）に一致するすべてのネットワークパスを VPC トポロジー全体から検出するサービス。「インターネットゲートウェイから VPC 内のリソースへ」というスコープを設定すると、セキュリティグループ、ルートテーブル、NACL、Transit Gateway などの複合的な設定を考慮しながら、意図せずインターネットからアクセス可能になっているリソースをすべて洗い出せる。実際のトラフィックは不要で設定分析のみで動作するため、プロアクティブな監査に適している。 VPC Reachability Analyzer との違いは、Reachability Analyzer が「指定した 2 点間の到達性確認」であるのに対し、Network Access Analyzer は「条件に一致するすべてのパスの発見」である点にある。 選択肢AのVPC Reachability Analyzerは、特定のソース ENI から特定のデスティネーション ENI への到達性を確認するツールで、全プライベートリソースを網羅するには膨大な数のパス定義が必要となり、「ENI を事前に指定しない」という要件を満たせない。 選択肢CのAmazon GuardDutyは実際のトラフィックを分析して脅威を事後検出するサービスであり、トラフィック発生前に設定ミスによる潜在的パスを事前に発見する用途には対応していない。 選択肢DのAWS Configマネージドルールは個々のセキュリティグループルールを評価するが、ルートテーブル・NAT ゲートウェイ・NACL の組み合わせによる複合的なネットワークパスを分析する能力はない。