DOPインシデントとイベントへの対応
あるクラウドセキュリティチームが AWS Security Hub を導入し、複数アカウントのセキュリティ検出結果を一元管理しています。チームは以下の要件を実現したいと考えています。
・Security Hub コンソール上でセキュリティアナリストが特定の検出結果を手動で選択し、ワンクリックで調査ワークフローを起動できる
・ワークフローの処理内容：
①影響を受けた EC2 インスタンスのスナップショット取得、
②インスタンスの隔離サブネットへの移動、
③外部チケットシステム（JIRA）への自動起票
・セキュリティアナリストはワークフローの実装詳細を意識せずに操作できる
・各ステップの成功・失敗が可視化される
このシナリオを実現する最も適切な構成はどれですか？
ASecurity Hub でカスタムアクション（Custom Action）を作成し、EventBridge ルールで当該アクションの ARN をフィルタして Step Functions ステートマシンを起動する
✓ 正解
カスタムアクションはアナリストがコンソールで特定の検出結果を選択しワンクリックで手動起動でき、実行時に EventBridge へイベントが送信されるため Step Functions を起動でき、各ステップの成否可視化にも最適です。
BSecurity Hub のオートメーションルールを設定し、すべての CRITICAL レベルの検出結果に対して Lambda 関数を自動起動して一連の対応処理を順次実施する構成にする
全 CRITICAL 検出結果を自動処理する構成であり、アナリストが判断して特定の検出結果を手動で選択・起動するという要件に合致しません。
CAmazon EventBridge Pipes で Security Hub 検出結果のストリームを継続的に受信し、フィルタリング条件を適用したうえで Step Functions ステートマシンを自動的に起動する
EventBridge Pipes はストリームの自動パイプライン処理向けで、アナリストが手動選択した特定の検出結果へのワンクリック起動という要件を満たしません。
DCloudWatch アラームを Security Hub の検出結果数メトリクスに設定し、閾値超過を検知した際に SNS トピック経由で Lambda を起動して対応処理を実行する
Security Hub は検出結果数の CloudWatch メトリクスを直接発行せず、変化は EventBridge 経由で送出されるため CloudWatch アラームでの直接監視・トリガーはできません。
解説
Security Hub カスタムアクションは、アナリストがコンソール上で特定の検出結果を選択してワンクリックで手動トリガーできる仕組みです。
実行されると EventBridge にイベントが送信されるため、EventBridge ルールで Step Functions ステートマシンを起動できます。
ステートマシン内でスナップショット取得・隔離サブネットへの移動・JIRA API 呼び出しをオーケストレーションでき、複数ステップのワークフローとステップ単位の成功/失敗の可視化には Step Functions が最適です。
選択肢Bは全 CRITICAL 検出結果を自動処理する構成であり、アナリストが判断して手動選択するという要件に合いません。
選択肢Cはストリームの自動パイプライン処理向けであり、アナリストが手動選択した特定の検出結果へのワンクリックトリガーという要件を満たしません。
選択肢DはSecurity Hubが検出結果数のCloudWatchメトリクスを直接発行せず、変化はEventBridge経由で送出されるためCloudWatchアラームでの直接監視・トリガーはできません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →