DOP構成管理と Infrastructure as Code (IaC)
セキュリティチームは、S3バケットに関する以下の要件を満たす自動化された仕組みを構築したいと考えています。
- 公開アクセスブロック設定が無効化された場合やサーバーサイド暗号化が未設定の場合に自動的に準拠状態へ修復する
- 修復が失敗した場合はSNSで通知する
- 修復の実行履歴を監査ログとして保持する
最も適切な構成はどれですか？
AAWS Config Rulesに自動修復アクションを設定してSSM Automationドキュメントを指定し、修復失敗イベントをEventBridgeルールでフィルタリングしてSNS通知を設定する。SSM Automationの実行ステップ履歴が監査ログとなる
✓ 正解
AWS ConfigはS3の設定変更をリアルタイムで評価し、マネージドルール（s3-bucket-public-access-prohibited等）と自動修復アクションを組み合わせることで要件を最小実装で満たせます。SSM Automationは実行ステップごとの詳細履歴が残り監査要件に対応します。修復失敗はEventBridgeでフィルタリングしSNS通知できます。
BEventBridgeルールでS3のPutBucketAclなどのAPIコールをCloudTrailで検知し、Lambda関数からS3 APIを直接呼び出して設定を修正する
EventBridge+Lambda直接実装でも機能的には要件を満たせますが、修復ロジックの標準化・実行履歴の構造化記録をConfig+SSM Automationと同等に実現するには追加の手動実装が必要で管理コストが高くなります。
CAWS Security Hubのカスタムアクションを作成してS3設定を修正するLambda関数を呼び出し、Security Hub内の調査結果として修復履歴を記録する
Security Hubカスタムアクションはセキュリティ調査結果の集約・管理に向いていますが、自動修復のオーケストレーションと実行履歴管理の機能はConfigの自動修復アクションより限定的です。
DS3バケットポリシーとSCPを使用して公開アクセスを制限し、Lambda関数で毎時スキャンを実行して非準拠バケットを修正する
SCPとバケットポリシーは予防的制御であり既存の非準拠バケットへの遡及的対応が困難です。また毎時定期スキャンでは設定変更から修復まで最大1時間のタイムラグが発生します。
解説
AWS ConfigはS3の設定変更をリアルタイムで評価し、マネージドルール（s3-bucket-public-access-prohibited等）と自動修復アクションを組み合わせることで要件を最小実装で満たせます。SSM Automationは実行ステップごとの詳細履歴が残り監査要件に対応します。修復失敗はEventBridgeでフィルタリングしSNS通知できます。
選択肢BのEventBridge+Lambda直接実装でも機能的には要件を満たせますが、修復ロジックの標準化・実行履歴の構造化記録をConfig+SSM Automationと同等に実現するには追加の手動実装が必要で管理コストが高くなります。
選択肢CのSecurity Hubカスタムアクションはセキュリティ調査結果の集約・管理に向いていますが、自動修復のオーケストレーションと実行履歴管理の機能はConfigの自動修復アクションより限定的です。
選択肢DのSCPとバケットポリシーは予防的制御であり既存の非準拠バケットへの遡及的対応が困難です。また毎時定期スキャンでは設定変更から修復まで最大1時間のタイムラグが発生します。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →