SAAセキュアなアーキテクチャの設計
あるEコマース企業は、API GatewayとLambdaを使用してパブリック向けのREST APIを構築しています。このAPIはユーザー認証と決済情報の処理を担っています。セキュリティ要件として、
(1) DDoS攻撃（分散型サービス拒否攻撃）からの保護と攻撃発生時の専門チームによるサポート
(2) SQLインジェクションおよびXSS（クロスサイトスクリプティング：Webアプリケーションへの悪意あるスクリプト挿入攻撃）の防止
(3) 特定の地理的リージョン以外からのアクセス制限
が求められています。最小の運用負荷でこれらの要件をすべて満たすサービスの組み合わせはどれですか？
AAWS WAF + AWS Shield Standard を API Gateway に直接アタッチし、API Gateway リソースポリシーに IP ベースの条件を記述して地理的アクセス制限を実装する
AWS Shield StandardはDRTサポートがなく、DDoS攻撃時の専門的対応が不足します。API Gatewayリソースポリシーは送信元IPアドレス単位の条件記述であり、国・地域ベースの地理的アクセス制限にはWAFのgeo-matchルールが必要です。
BAPI Gatewayの前段にAmazon CloudFrontディストリビューションを配置し、AWS WAFをCloudFrontに関連付けて地理的一致条件とマネージドルールを設定し、AWS Shield Advancedを有効化する
✓ 正解
CloudFrontをAPI Gateway前段に配置することで、エッジでWAF（SQLインジェクション・XSS防御）と地理的制限が適用されます。Shield AdvancedはDRTによるDDoS対応チームサポート付きで、高度な攻撃対策が可能です。
CVPCのネットワークACLとセキュリティグループを組み合わせ、API Gatewayの使用量プランでレート制限を設定することでDDoS対策とアクセス制御を実施する
VPCネットワークACL・セキュリティグループ + 使用量プランの構成は基本的なアクセス制御には有効ですが、DDoS攻撃からの高度な保護と専門DRTサポートには不十分です。
DAmazon GuardDutyとAWS Configを有効化し、API Gatewayに Lambda オーソライザーを設定することで認証と脅威検知を強化する
GuardDutyとConfigは脅威検知・設定評価に有効ですが、攻撃の事前防御（予防）ではなく事後検知であり、DDoS攻撃からの主動防御には不向きです。
解説
CloudFrontをAPI Gatewayの前段に置くことでエッジでWAFによるSQLインジェクション・XSS防御と地理的制限を適用できます。Shield AdvancedはDDoS攻撃時にDRT（DDoS対応チーム）サポートを提供します。
選択肢AのShield StandardはDRTサポートがなく要件(1)を満たせません。API Gatewayリソースポリシーへの条件記述は個別IP単位の管理が必要で、地理的制限（要件(3)）にはWAFのgeo-matchルールが適しています。
選択肢CのNACLとセキュリティグループを組み合わせる方法は、DDoS攻撃からの高度な保護と専門チームサポートには不十分です。
選択肢DのGuardDutyは脅威の検知サービスであり、DDoS防御やWAFルールのような予防的保護ではありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →