DOPセキュリティとコンプライアンス複数選択
あるセキュリティチームは、Amazon GuardDutyが「UnauthorizedAccess:EC2/SSHBruteForce」タイプの脅威を検出した際に、次の2つのアクションを自動実行したいと考えています。
①該当するEC2インスタンスを隔離用セキュリティグループに即座に移動する。
②セキュリティチームのメールアドレスとAWS Chatbot経由のSlackチャンネルに通知する。
最小の設定で実現できるサービスの組み合わせを2つ選択してください。
AGuardDutyの検出結果をAmazon EventBridgeルールでフィルタリングし、AWS Lambda関数を起動してEC2インスタンスのセキュリティグループを隔離用グループに変更する
✓ 正解
GuardDutyはAmazon EventBridgeと自動統合されており、検出タイプでフィルタリングするEventBridgeルールを設定できます。EventBridge→Lambda経由でセキュリティグループを変更するAPI呼び出しを行い、インスタンスの即座の隔離を実現できます。
BGuardDutyの検出結果をAmazon CloudWatch Logsにエクスポートし、メトリクスフィルターでアラームを設定してAmazon SNS通知を送信する
CloudWatch LogsへのエクスポートはGuardDutyの検出からアクション実行まで遅延が生じるため、リアルタイム応答が必要なセキュリティインシデント対応に不向きです。また通知のみで隔離アクションに対応していません。
CGuardDutyの検出結果をAmazon EventBridgeルールでフィルタリングし、Amazon SNSトピックに発行してメール通知とAWS Chatbot経由のSlack通知を送信する
✓ 正解
GuardDutyをEventBridgeルールでフィルタリングしSNSに発行することで、メール通知とAWS Chatbot経由のSlack通知を最小構成で実現できます。EventBridgeのネイティブ統合により追加設定が少なく、複数の通知チャネルに対応可能です。
DAWS ConfigルールでEC2インスタンスのセキュリティグループ設定を定期チェックし、違反インスタンスをSSM Automationで修復する
AWS ConfigはEC2インスタンスのセキュリティグループ設定を定期チェック（評価）できますが、GuardDutyのSSHブルートフォース検出という特定イベントへのリアルタイム対応には不向きです。定期スケジュール検出のため即座の隔離に対応できません。
EAWS CloudTrailのログをAmazon Athenaでクエリし、不正SSHアクセスパターンを検出してAmazon SNSで通知を送信する
CloudTrailはAWS APIコール（IAMアクション、セキュリティグループ変更など）を記録するものであり、ネットワークレベルのSSHブルートフォース攻撃トラフィック自体は記録されません。GuardDutyの検出データを代替することはできません。
解説
GuardDutyの検出結果をAmazon EventBridgeルールでフィルタリングし、AWS Lambda関数を起動してEC2インスタンスのセキュリティグループを隔離用グループに変更する。
および
GuardDutyの検出結果をAmazon EventBridgeルールでフィルタリングし、Amazon SNSトピックに発行してメール通知とAWS Chatbot経由のSlack通知を送信する。
GuardDutyの検出結果はAmazon EventBridgeと自動統合されており、検出タイプでフィルタリングするEventBridgeルールを設定できます。EC2の隔離にはEventBridge→Lambda（セキュリティグループ変更のAPI呼び出し）、通知にはEventBridge→SNS（メール）＋AWS Chatbot（Slack転送）が最適です。
選択肢BのCloudWatch Logsへのエクスポートはリアルタイム応答に遅延が生じます。
選択肢DのAWS Configは定期評価であり、発生中のインシデントへのリアルタイム対応には不向きです。
選択肢EのCloudTrailはAWS APIコールを記録するものであり、ネットワークレベルのSSHブルートフォース攻撃自体は記録されません。またAthenaクエリはリアルタイム処理ではなく、GuardDuty検出に基づく即時自動対応には不適切です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →