DOPモニタリングとロギング
グローバル企業が AWS Organizations を使用して 50 以上の AWS アカウントを管理しています。セキュリティチームは、全アカウントの AWS CloudTrail ログと Amazon VPC フローログ（※VPC を流れる IP トラフィックのメタデータを記録するログ）をセキュリティ専用アカウントに集約し、SIEM（※Security Information and Event Management: セキュリティ情報・イベント管理システム）で分析したいと考えています。要件として、
①ログは不変（変更・削除不可）であること、
②新規アカウント追加時も自動的にログ収集対象となること、
③ソースアカウントの管理者がログを削除できないことが求められます。
最も適切なアーキテクチャはどれですか？
A各アカウントで個別に CloudTrail 証跡を作成してセキュリティアカウントのS3に直接配信し、バケットポリシーで s3:DeleteObject を拒否してソースアカウントの削除を防止する
バケットポリシーで s3:DeleteObject を拒否しても管理者権限でポリシー自体を変更できるため不変性の保証が弱く、また個別証跡作成では新規アカウント追加時の自動適用もできません。
B組織証跡（Organization Trail）で全アカウントの CloudTrail を自動集約してS3 Object Lock（Compliance モード）で保管し、VPC フローログは Amazon Data Firehose で同一バケットへ配信する
✓ 正解
組織証跡は新規メンバー追加時も自動で有効化されスケーラブルです。S3 Object Lock（Compliance）はrootを含む全ユーザーの削除・上書きを保持期間中に防ぎ、完全な不変性を実現します。
C全アカウントに CloudWatch Logs エージェントをデプロイしサブスクリプションフィルターで Kinesis Data Streams に転送、Lambda で処理してS3に保存する
CloudWatch Logsエージェントのデプロイと管理が全アカウントで煩雑であり、新規アカウント追加時の自動適用も担保されないため要件②を満たしません。
DAWS Security Hub の統合機能で全アカウントのセキュリティイベントを集約し、EventBridge 経由でセキュリティアカウントのS3バケットにエクスポートする
Security Hubはセキュリティイベントの集約・評価を行いますが、CloudTrailログやVPCフローログを直接収集・保管するものではなく要件を満たしません。
解説
組織証跡（Organization Trail）は管理アカウントまたは委任管理者アカウントから作成でき、新規メンバーアカウント追加時も自動的に証跡が有効化されるためスケーラブルです。S3 Object Lock の Compliance モードは root ユーザーを含む全ユーザーによる削除・上書きを保持期間中は不可能にするため、ソースアカウント管理者によるログ改ざんを完全に防止できます。
選択肢Aの各アカウントで個別に CloudTrail 証跡を作成する方法は、バケットポリシーで s3:DeleteObject を明示的に拒否しても、管理者権限でポリシーを変更可能であり不変性の保証が弱いです。
選択肢Cの CloudWatch Logs エージェント・Kinesis Data Streams・Lambda による構成は、複数サービスの連携による運用複雑度が高くなります。
選択肢DのAWS Security Hub は、完全なログ集約ソリューションではなくセキュリティ調査結果の集約に特化しており、SIEM 向けの生ログ収集には不向きです。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →