SAAセキュアなアーキテクチャの設計
グローバルに展開する金融企業が、us-east-1・eu-west-1・ap-northeast-1の3リージョンにまたがるマルチアカウント環境を運用しています。セキュリティチームは、不審なAPIコール・ポートスキャン・侵害されたIAMクレデンシャルを自動検出し、全リージョン・全アカウントの検出結果を一元管理したうえで、脅威インテリジェンスと統合して重大度別に優先度付けしたいと考えています。最小の運用負荷でこの要件を実現するアーキテクチャはどれですか？
AAmazon GuardDutyを全リージョン・全アカウントで有効化し、Organizations委任管理者に集約したうえでAWS Security Hubで一元管理・優先度付けを行う
✓ 正解
GuardDutyはVPCフローログ・CloudTrailイベント・DNSクエリを機械学習で分析してリアルタイム脅威検出を行い、Organizations委任管理者への集約とSecurity Hubでの一元管理により、全リージョン・全アカウントを最小の運用負荷でカバーできます。
BCloudWatchエージェントを全EC2インスタンスに導入して中央アカウントにメトリクスを集約し、CloudWatch Alarmでセキュリティイベントのアラートを設定する
CloudWatchエージェントはEC2のメトリクス・ログ収集に特化しており、脅威インテリジェンスを用いた不審なAPIコールやポートスキャンの自動検出機能を持たないため、この要件には対応できません。
CCloudTrailを全アカウント・全リージョンで有効化してS3に記録し、Amazon Athenaで定期的なカスタムクエリを実行して不審なAPIコールを検出する
CloudTrail + Athenaはアクティビティログの分析基盤として有効ですが、クエリの設計・実行管理が必要であり、リアルタイム脅威検出と脅威インテリジェンスの自動統合という要件を最小の運用負荷では満たせません。
DAmazon Macieで全S3バケットを監視し、Amazon Inspector v2で脆弱性スキャンを実施してすべての結果をAWS Security Hubに集約・管理する
MacieはS3バケットの機密データ分類・保護、Inspector v2はEC2やコンテナの脆弱性スキャンに特化したサービスであり、侵害されたIAMクレデンシャルや不審なAPIコールの検出はGuardDutyが担う領域です。
解説
Amazon GuardDutyはVPCフローログ・CloudTrailイベント・DNSクエリを機械学習と脅威インテリジェンスで分析し、不審なAPIコール・ポートスキャン・侵害されたクレデンシャルを自動検出するマネージドサービスです。AWS Organizations統合により委任管理者アカウントを指定するだけで、全メンバーアカウント・全リージョンのGuardDutyを一元有効化・管理できます。さらにAWS Security Hubと統合することで、検出結果をCISベンチマーク等のセキュリティ標準と組み合わせて重大度別に優先度付けし、EventBridgeと連携した自動修復も実現できます。これらはいずれもフルマネージドサービスのため、最小の運用負荷で要件を満たせます。
選択肢BのCloudWatchエージェントはインフラメトリクス収集向けであり、脅威インテリジェンスや不審なAPIアクセスパターンの自動検出機能を持ちません。
選択肢CのCloudTrail + Athenaはログの事後分析に有効ですが、カスタムクエリの継続的な管理が必要であり、リアルタイム検出や脅威インテリジェンスとの自動統合には対応していません。
選択肢DのMacie + Inspector v2はそれぞれS3の機密データ検出とソフトウェア脆弱性スキャンを担うサービスであり、不審なAPIコールや侵害されたクレデンシャルの検出はカバーしていません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →