SCSアイデンティティとアクセス管理
ある金融サービス企業のセキュリティエンジニアは、以下の要件を満たすアプローチを検討しています。
・AWS Organization外部のプリンシパルからアクセス可能なS3バケット・KMSキー・IAMロールなどのリソースを継続的に特定する
・新しいリソースポリシーが外部プリンシパルへのアクセスを許可するたびに自動でファインディングを生成する
・既存のSIEMと統合する
最小の運用オーバーヘッドでこれらの要件を満たすアプローチはどれか。
AAmazon GuardDutyを有効化し、外部プリンシパルからの不審なAPI呼び出しをリアルタイム検出するルールを設定してEventBridge経由でSIEMに転送する
GuardDutyは実際に発生した不審な通信や脅威行動を検出するサービスであり、リソースポリシーで外部プリンシパルへのアクセス許可が設定されているかどうかを静的に分析する機能を持っておらず、外部アクセス権限の事前検出には適さない。
BAWS CloudTrailで全リソースポリシーの変更を記録し、Amazon Athenaクエリを定期実行して外部プリンシパルへのアクセスを分析しSIEMにレポートを送付する
CloudTrailとAthenaの組み合わせはリソースポリシー変更の記録と事後分析に使えるが、リソースポリシー変更ごとに自動でファインディングを生成するリアルタイム検出ではなく、定期的なクエリ実行が必要となる点で要件を満たさない。
CAWS IAM Access AnalyzerをOrganizationsレベルで有効化し、信頼ゾーンをOrganizationに設定してSecurity Hub経由でSIEMにファインディングを転送する
✓ 正解
IAM Access AnalyzerはOrganizationsレベルで有効化でき、信頼ゾーン外のプリンシパルへのアクセス許可を自動検出してSecurity Hub経由でSIEMへ転送できる。カスタム実装不要でリソースポリシー変更のたびにリアルタイムでファインディングを生成する。
DAWS ConfigルールとAWS Lambdaを組み合わせ、リソースポリシーの変更を検出するたびに外部プリンシパルへのアクセスを解析するカスタムロジックを実装しSIEMに転送する
AWS ConfigルールとLambdaを組み合わせたカスタム実装は外部アクセス検出が可能だが、検出ロジックの開発・テスト・継続保守が必要となり、マネージドサービスのAccess Analyzerと比較して運用オーバーヘッドが大きくなる。
解説
AWS IAM Access Analyzerは、S3バケット・KMSキー・IAMロール・Lambda関数などのリソースに設定されたポリシーを自動分析し、Organization外部のプリンシパルからアクセス可能なリソースをファインディングとして報告するマネージドサービスです。Organizationsレベルで有効化することで信頼ゾーンをOrganization全体に設定でき、ポリシー変更のたびにリアルタイムでファインディングを生成します。Security Hubとの統合によりSIEMへの転送も容易で、カスタム実装が不要なため運用オーバーヘッドが最小限に抑えられます。
選択肢AのAmazon GuardDutyは実際に発生した不審な通信や脅威行動を検出するサービスであり、リソースポリシーによる外部アクセス許可設定の静的検出には特化していない。
選択肢BのAWS CloudTrail+Amazon Athenaはポリシー変更の記録と事後分析に使えるが、定期的なクエリ実行が前提で自動的なリアルタイムファインディング生成はできない。
選択肢DのAWS Config+AWS Lambdaは外部アクセス検出のカスタムロジック実装が必要で、開発・保守コストが高く最小限の運用という要件に合わない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →