SCSインフラストラクチャのセキュリティ

セキュリティ監査で、AWS Organizations 配下の複数アカウントにある EC2 インスタンスの一部がメタデータサービスの旧バージョン(IMDSv1)を有効にしたまま稼働していることが判明した。セキュリティチームはインスタンスを停止することなく既存の非準拠インスタンスを自動修復し、新規インスタンスには SCP で強制適用したい。既存インスタンスへの自動修復要件を満たす構成はどれか。

A
AWS Config ルール「ec2-imdsv2-required」で非準拠インスタンスを検出し、EventBridge ルールで SNS 通知を送信してセキュリティチームが手動対応する
AWS Config ルールは非準拠インスタンスを検出できるが、SNS 通知のみのフローでは自動修復が実現されず手動対応が残る。
B
AWS Config ルール「ec2-imdsv2-required」で非準拠インスタンスを検出し、Systems Manager Automation の修復アクションで IMDSv2 を自動強制する
✓ 正解
AWS Config「ec2-imdsv2-required」と Systems Manager Automation の自動修復で、インスタンス停止なしに既存インスタンスの IMDSv2 を強制できる。
C
Amazon Inspector v2 を全アカウントで有効化し、IMDSv1 を使用するインスタンスを脆弱性として検出後に Security Hub 経由で自動修復アクションをトリガーする
Amazon Inspector v2 は CVE やネットワーク到達性の評価を対象とし、IMDS バージョン設定を検出するフィンディングタイプは提供していない。
D
Amazon Inspector v2 を全アカウントで有効化し、IMDSv1 の設定を検出して Systems Manager Automation で当該インスタンスのメタデータ設定を変更する
Amazon Inspector v2 は IMDSv1/v2 の設定状態を検出するフィンディングタイプを持たず、修復のトリガーとして利用できない。

解説

AWS Config の「ec2-imdsv2-required」ルールはIMDSv1許可インスタンスを継続検出し、Systems Manager Automationの自動修復アクションでインスタンス停止なしにIMDSv2を強制できる。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
SCS の問題一覧に戻る