DOPインシデントとイベントへの対応
本番環境のEC2インスタンスから通常とは異なるリージョンへの大量APIコールを示すGuardDuty検出結果が発生しました。セキュリティチームは次の調査を迅速に行う必要があります：
①そのEC2インスタンスに紐付くIAMロールの過去30日間のAPIコールの行動パターン異常、
②同一IAMロールを使用している他のリソース、
③異常なAPIコールが始まった正確な時刻と前後の文脈。最も効率的に調査を進められるAWSサービスはどれですか？
ACloudTrail Lake でSQLクエリを作成し、対象IAMロールの過去30日間のAPIコール履歴をフィルタリングして異常なパターンを手動で洗い出す
CloudTrail Lake はSQLでAPIコール履歴を柔軟に照会できますが、クエリ作成に手間がかかり、エンティティ間の関係グラフや自動の行動ベースライン比較機能がなく、迅速な相関調査には効率が劣ります。
BAmazon Detective を有効化し、GuardDuty検出結果から直接調査を開始してエンティティ間の関係グラフと行動ベースラインを分析する
✓ 正解
Amazon DetectiveはGuardDuty・CloudTrail・VPCフローログを機械学習で分析し、GuardDuty検出結果から1クリックで遷移してエンティティ間の関係グラフと時系列ベースラインを可視化でき、要件①②③を迅速に満たします。
CCloudWatch Logs Insights でCloudTrailログとVPCフローログを横断クエリし、時系列で異常なAPIコールのパターンを手動で特定する
CloudWatch Logs Insightsは手動クエリでの調査は可能ですが、自動の行動ベースライン比較やエンティティ間の関係グラフを持たず、迅速な相関調査には効率が劣ります。
DAWS Security Hub で関連する検出結果を一覧表示し、コンプライアンスチェック結果を参照してインシデントの影響範囲を把握する
Security Hubは検出結果の集約・優先順位付けが主目的で、タイムラインやエンティティ関係をたどる深いインシデント調査はDetectiveの役割であり、この要件には最適ではありません。
解説
Amazon DetectiveはGuardDuty・CloudTrail・VPCフローログを機械学習で分析し、エンティティ間の関係グラフと時系列ベースラインを視覚化するセキュリティ調査ツールです。GuardDuty検出結果から1クリックでDetective調査画面に遷移でき、IAMロールの行動パターン異常・関連リソース・タイムラインを迅速に把握できます。
選択肢AのCloudTrail Lakeは、SQLでの柔軟な照会は可能ですがクエリ作成の手間がかかり、エンティティ間の関係グラフや自動の行動ベースライン比較機能がありません。
選択肢CのCloudWatch Logs Insightsは、手動クエリ調査は可能だが自動ベースライン比較・エンティティ関係グラフがなく効率が低いです。
選択肢DのSecurity Hubは、検出結果の集約・優先順位付けが主目的であり、個別インシデントの深い調査（タイムライン・エンティティ関係）はDetectiveの役割です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →