DOPインシデントとイベントへの対応
ある金融サービス企業では、コンプライアンス要件により、すべての AWS アカウントで組織証跡（AWS CloudTrail）が常に有効でなければならない。しかし過去に、権限を持つ運用者が誤って証跡のログ記録を停止し、数時間気づかれなかったインシデントが発生した。DevOps チームは、証跡が停止された場合に数分以内で自動的に検出し、ログ記録を再開したうえでセキュリティチームへ通知する、イベント駆動の是正の仕組みを構築したい。最も適切な方法はどれか。
AAmazon EventBridge ルールで CloudTrail の管理イベント StopLogging を検出し、Lambda を起動して該当証跡の StartLogging を呼び出したうえで、Amazon SNS でセキュリティチームへ通知する。
✓ 正解
StopLogging は管理イベントとして EventBridge でほぼリアルタイムに検知でき、Lambda で StartLogging を即時呼び出して数分以内に自動再開、さらに SNS で通知できる。検出・是正・通知をイベント駆動で完結させ要件を満たすため最適。
BAWS Config のマネージドルール cloudtrail-enabled を有効化し、定期評価で非準拠を検出したら Systems Manager Automation で証跡を再有効化したうえで、Amazon SNS でセキュリティチームへ通知する。
cloudtrail-enabled は実在するルールだが、Config の評価は変更検知や定期評価にタイムラグがあり、数分以内という near-real-time の是正要件を安定して満たせない点で EventBridge 駆動に劣るため不適切。
CCloudWatch Logs のメトリクスフィルターで StopLogging イベントの発生数をカウントし、しきい値超過で CloudWatch アラームを発報して SNS 通知し、担当者が手動で証跡のログ記録を再開する。
メトリクスフィルターとアラームで通知は可能だが、証跡の再開が担当者の手動操作前提であり、自動でログ記録を再開する要件を満たさない。また停止中はログ配信自体が止まる懸念もあり不適切。
DAWS CloudTrail Insights を有効化して StopLogging を異常アクティビティとして検出し、その検出結果を EventBridge 経由で Lambda に渡して該当証跡のログ記録を自動で再開する。
CloudTrail Insights は書き込み系 API 呼び出しのレート異常を検出する機能で、単発の StopLogging イベントを確実に捕捉する仕組みではない。イベント駆動の即時是正には適さないため不適切。
解説
CloudTrail の StopLogging は管理イベントとして記録され、EventBridge でほぼリアルタイムに検知できる。EventBridge ルールで StopLogging イベントにマッチさせ、Lambda を起動して該当証跡に対し StartLogging を呼び出せば、数分以内にログ記録を自動再開できる。同時に SNS でセキュリティチームへ通知すれば、検出・是正・通知をイベント駆動で完結でき要件を満たす。
選択肢1の AWS Config ルール cloudtrail-enabled は実在するが、評価にタイムラグがあり数分以内のリアルタイム是正には向かない。
選択肢2の CloudWatch Logs メトリクスフィルターは、担当者による手動再開を前提としており、自動でログ記録を再開する要件を満たさない。
選択肢3の CloudTrail Insights は、書き込み系 API 呼び出しの「量」の異常を検出する機能であり、単発の StopLogging イベントを確実に捕捉する用途には適さない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →