SAP組織の複雑さに対応する設計複数選択
金融機関がAWS上でマルチリージョン（us-east-1、eu-west-1、ap-northeast-1）のマルチアカウント環境を運用しています。コンプライアンス要件として、特定のデータ（PII）は各リージョンの境界を越えてはならず、かつ各リージョンのセキュリティイベントをリアルタイムで統合監視する必要があります。現在の構成ではCloudTrailログとGuardDuty検出結果が各アカウント・各リージョンに分散しており、セキュリティチームがインシデント対応に平均4時間かかっています。この要件を満たす最適なアーキテクチャはどれですか？（2つ選択）
A各リージョンにセキュリティアカウントを作成し（us-east-1用、eu-west-1用、ap-northeast-1用）、それぞれのリージョンのCloudTrailログをリージョン内のS3バケットに集約する。GuardDutyはリージョンごとのセキュリティアカウントをデリゲート管理者として設定し、Amazon Security Hubのクロスリージョン集約機能は使用しない。
Security Hub集約を使用しないため視認性が低く、リアルタイム統合監視の要件を十分に満たしません。
BAWS Security HubのCross-Region Aggregation機能を使用して、全リージョンの検出結果をus-east-1の中央セキュリティアカウントに集約する。ただしPIIデータ自体は各リージョンに留まり、セキュリティ検出結果のメタデータのみが集約される。
✓ 正解
Security HubのCross-Region Aggregationは検出結果のメタデータのみを集約し、PIIデータ自体は各リージョンに留まるためデータレジデンシー要件を満たしつつ一元監視を実現できます。
CAmazon EventBridgeのクロスアカウント・クロスリージョンイベントバスを使用して、GuardDuty検出結果とCloudTrail APIエラーをセキュリティアカウントの中央イベントバスに集約し、Step Functionsを使用した自動インシデント対応ワークフローをトリガーする。
EventBridgeとStep Functionsを用いた有効なアプローチですが、管理対象ルール不整合などの追加複雑さが生じます。
DCloudTrailの組織証跡（Organization Trail）を使用して全アカウントのAPIアクティビティを各リージョンのCloudTrailに記録し、ログをリージョン内のS3バケットに保存する。クロスリージョン集約にはS3 Cross-Region Replicationは使用せず、Amazon Athenaのクロスリージョンクエリを使用する。
Amazon Athenaはリージョンサービスであり、S3 Cross-Region Replicationを使用しない場合は各リージョンのCloudTrailログを横断的にリアルタイム分析することは困難です。
EGuardDutyの組織レベルの委任管理者をセキュリティアカウントに設定し、全アカウント・全リージョンのGuardDuty検出結果をセキュリティアカウントで集中管理する。Security Hubのクロスアカウント・クロスリージョン集約と組み合わせ、Amazon DetectiveでGuardDuty検出結果の調査を自動化する。
✓ 正解
GuardDutyの組織委任管理者による全アカウント・全リージョンの一元管理とSecurity Hubの集約を組み合わせるのがAWS推奨パターンで、DetectiveがGuardDuty検出結果の調査を支援してインシデント対応時間を短縮します。
解説
Security HubのCross-Region Aggregationは検出結果のメタデータを集約しますが、実際のPIIデータは各リージョンに留まるため、データレジデンシー要件を満たしたうえで一元監視を実現できます。GuardDutyの組織委任管理者による全アカウント・全リージョンの一元管理とSecurity Hubの集約を組み合わせることがAWS推奨パターンです。DetectiveはGuardDuty検出結果と自動連携してリソース間の関係をグラフで視覚化し、調査を支援することでインシデント対応時間の短縮に貢献します。
選択肢AはSecurity Hub集約を使用しないため視認性が低く、リアルタイム統合監視の要件を十分に満たしません。
選択肢CはEventBridgeとStep Functionsを用いた有効なアプローチですが、管理対象ルール不整合などの追加複雑さが生じます。
選択肢DのAmazon Athenaはリージョンサービスであり、S3 Cross-Region Replicationを使用しない場合は各リージョンのCloudTrailログを横断的にリアルタイム分析することは困難です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →