DOPセキュリティとコンプライアンス
ある企業は Transit Gateway を使用して複数VPCのトラフィックをセントラルネットワークアカウントに集約しています。セキュリティチームは、全アウトバウンドトラフィックに対してステートフルなディープパケットインスペクション（DPI）、ドメイン名ベースのフィルタリング、および既知の脅威シグネチャのブロックを一元的に適用する必要があります。新しいVPCが追加された際にも自動的にポリシーが適用されるようCloudFormationで管理したい場合、最も適切なアーキテクチャはどれですか？
A各アカウントのVPCにNAT Gatewayを配置し、セキュリティグループとネットワークACLでIPベースのアウトバウンドフィルタリングを一元的に適用する
NAT GatewayやSG/NACLはIP・ポート単位のL3/L4制御しかできず、ステートフルなDPIやドメイン名ベースのフィルタリング、脅威シグネチャのブロックという要件を満たせず、集中検査にも不向きです。
BセントラルネットワークアカウントにAWS Network Firewallを展開し、Transit Gatewayの検査ルーティングで全トラフィックを検査してSuricata互換ルールをCloudFormationで管理する
✓ 正解
AWS Network FirewallはSuricata互換のステートフルDPI・ドメインリスト・マネージド脅威シグネチャを提供し、Transit Gatewayの検査ルーティングで全VPCを集約検査でき、CloudFormationで新規VPCにも自動適用できます。
C各アカウントのALBにAWS WAFのマネージドルールグループを適用し、AWS Firewall Managerで全アカウントの設定を一元管理する
AWS WAFはHTTP/HTTPSのL7保護でALB前段に限定され、全アウトバウンドトラフィックのDPIやドメインフィルタリングには使えず、Transit Gateway集約経路の一元検査という要件にも合致しません。
DAWS Shield AdvancedをすべてのアカウントのElastic IPに適用してDDoS攻撃を防ぎ、VPC Flow LogsをS3に送信して脅威を事後分析する
Shield AdvancedはDDoS防御専用でDPIやドメインフィルタ、脅威シグネチャのブロックは行えません。Flow Logsも事後分析用でインラインの脅威ブロックには使えず要件を満たしません。
解説
正解：
セントラルネットワークアカウントにAWS Network Firewallを展開し、Transit Gatewayの検査ルーティング（Inspection Routing）を設定してすべてのトラフィックをNetwork Firewallエンドポイント経由にする。Suricataルール互換のステートフルルールとドメインリストをCloudFormationで管理する。
AWS Network Firewallは、Suricataルール互換のステートフルDPI、ドメインリストフィルタリング、マネージド脅威インテリジェンスを提供します。Transit Gatewayの検査ルーティングで全VPCトラフィックを集中検査でき、ルールはCloudFormationでIaC管理可能です。
選択肢Aはセキュリティグループとネットワーク ACL による IP/ポート単位の制御に限られ、ステートフルな DPI やドメイン名ベースのフィルタリング、脅威シグネチャのブロックには対応できません。
選択肢Cの AWS WAF は HTTP(S) レイヤー（L7）のみ対応で、全アウトバウンドトラフィックのネットワーク層 DPI には対応できません。
選択肢Dの Shield Advanced は DDoS 対策専用で、DPI やドメインフィルタリングは行えません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →