CLFセキュリティとコンプライアンス
ある企業のセキュリティ担当者は、自社のAWSアカウント内にあるS3バケット・IAMロール・KMSキーなどのリソースが、意図せず社外（別のAWSアカウントやインターネット）からアクセス可能な状態になっていないか、リソースポリシーの分析によって継続的に自動検出したいと考えています。この要件を最も効率的に満たすサービスはどれですか？
AAmazon GuardDuty（機械学習と脅威インテリジェンスで不審なアクティビティを自動検出するサービス）
VPCフローログやCloudTrail・DNSログを機械学習と脅威インテリジェンスで分析し、不審なアクティビティや攻撃パターンを検出するサービスです。脅威行動の検出に特化しており、リソースポリシーの外部アクセス権限を分析する機能は持ちません。
BAWS IAM Access Analyzer（外部エンティティからアクセス可能なリソースポリシーを継続分析するサービス）
✓ 正解
AWSアカウントまたはOrganization外のエンティティからアクセス可能なリソースを、リソースポリシーの継続的な自動分析によって検出するサービスです。S3・IAMロール・KMSキーなどを対象に、意図しない外部公開を自動特定できます。
CAWS Config（リソース設定変更を継続記録しコンプライアンスルールへの準拠を評価するサービス）
AWSリソースの設定変更を継続記録し、設定ルール（Config Rules）への準拠・非準拠を評価するサービスです。設定の記録と評価が目的であり、リソースポリシーの外部アクセス権限を自動推論・分析する機能は持ちません。
DAWS Security Hub（複数のセキュリティサービスの検出結果を集約して一元管理するサービス）
GuardDuty・Inspector・Access Analyzerなど複数のAWSセキュリティサービスの検出結果を集約・優先順位付けして一元管理するサービスです。リソースポリシーを自律的に分析する機能はなく、各サービスのFindingを受け取って統合表示します。
解説
AWS IAM Access Analyzerは、AWSアカウントまたはOrganization内のリソースポリシーを継続的に分析し、外部エンティティ（別のAWSアカウント・パブリック・インターネット）からアクセス可能なリソースを自動検出するサービスです。対象はS3バケット・IAMロール・KMSキー・Lambda関数・SQSキューなど多岐にわたり、検出された問題は「Finding」として報告されるため、意図しない過剰なアクセス許可を早期に発見・修正できます。
選択肢AのAmazon GuardDutyはVPCフローログ・CloudTrail・DNSクエリログを機械学習と脅威インテリジェンスで分析して不審な動作を検出するサービスです。脅威行動の検知が目的であり、リソースポリシーの外部アクセス権限分析は機能に含まれません。
選択肢CのAWS Configはリソースの設定変更履歴を継続的に記録し、設定ルール（Config Rules）への準拠を評価するサービスです。設定コンプライアンス管理が目的であり、ポリシーの外部アクセス可否を自動推論する機能はありません。
選択肢DのAWS Security Hubは複数のAWSセキュリティサービスの検出結果を集約・優先順位付けして一元管理するサービスです。リソースポリシーを自律的に分析する機能は持たず、Access AnalyzerなどのFindingを受け取り統合表示する役割を担います。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでCLFを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →