SAAセキュアなアーキテクチャの設計
ある金融機関がAWS上で複数のVPC（開発・ステージング・本番）を運用しており、セキュリティチームから以下のネットワークセキュリティ要件が提示されました。
①既知の悪意あるドメインへのアウトバウンド通信をブロックする
②侵入検知・防御システム（IDS/IPS：Intrusion Detection/Prevention System、不正な通信を検知・遮断する仕組み）機能でトラフィックを検査する
③複数VPCのトラフィックを単一の管理ポイントで一元検査しコストを最適化する
④Suricata（オープンソースのIPSエンジン）互換シグネチャによるマネージドルールを使用する。
これらすべての要件を満たす最も適切なアーキテクチャはどれですか？
A集中型のセキュリティVPCにAWS Network Firewallを配置し、AWS Transit Gatewayでインスペクション VPC経由にルーティングする
✓ 正解
AWS Network FirewallはレイヤーL3〜L7のステートフルなパケット検査、FQDN（完全修飾ドメイン名）ベースのドメインフィルタリング、Suricata互換のIPSルールをサポートします。集中型のインスペクション VPCに配置してTransit Gatewayでルーティングすることで、複数VPCのトラフィックを単一ポイントで一元管理でき、すべての要件を満たします。
BすべてのVPCのALB（Application Load Balancer）にAWS WAFを設定し、Amazon Managed Rulesのマネージドルールグループを適用する
AWS WAFはHTTP/HTTPSトラフィックをALB・CloudFront・API Gateway経由で保護するアプリケーション層専用のサービスです。VPCレベルのネットワークトラフィック全体を対象にした検査やIPS機能は提供していません。
C各VPCのセキュリティグループとNACL（ネットワークアクセスコントロールリスト）を強化し、既知の悪意あるIPアドレスを拒否ルールに追加する
セキュリティグループとNACLはIPアドレス・ポート番号ベースのフィルタリングのみで、ドメイン名によるフィルタリングや深いパケット検査（DPI）はサポートしていません。IPアドレスは頻繁に変わるためドメインベースのブロックには不十分です。
DAWS Shield Advancedを組織全体で有効化し、DDoS攻撃からの保護とトラフィックフィルタリングを実施する
AWS Shield AdvancedはDDoS（分散型サービス拒否）攻撃からの保護サービスであり、トラフィックの内容検査・ドメインフィルタリング・IPS機能は提供しません。
解説
AWS Network FirewallはレイヤーL3〜L7のステートフルなパケット検査、FQDN（完全修飾ドメイン名）ベースのドメインフィルタリング、Suricata互換のIPSルールをサポートします。集中型のインスペクション VPCに配置してTransit Gatewayでルーティングすることで、複数VPCのトラフィックを単一ポイントで一元管理でき、すべての要件を満たします。
選択肢BのAWS WAFはHTTP/HTTPSトラフィックをALB・CloudFront・API Gateway経由で保護するアプリケーション層専用のサービスです。VPCレベルのネットワークトラフィック全体を対象にした検査やIPS機能は提供していません。
選択肢CのセキュリティグループとNACLはIPアドレス・ポート番号ベースのフィルタリングのみで、ドメイン名によるフィルタリングや深いパケット検査（DPI）はサポートしていません。IPアドレスは頻繁に変わるためドメインベースのブロックには不十分です。
選択肢DのAWS Shield AdvancedはDDoS（分散型サービス拒否）攻撃からの保護サービスであり、トラフィックの内容検査・ドメインフィルタリング・IPS機能は提供しません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →