SCSインシデント対応
ある企業のセキュリティチームが、クレジットカード決済処理を担うAmazon EC2インスタンスで不審なプロセスが実行されていることを検出しました。フォレンジック調査のためにデジタル証拠を保全しながら、インシデントの影響範囲を最小限に抑える必要があります。最初に実行すべき対応として最も適切なものはどれですか？
AEBSボリュームのスナップショットを作成し、セキュリティグループを遮断専用のグループに差し替えてインスタンスを隔離する
✓ 正解
EBSスナップショットで証拠を保全してからセキュリティグループを変更して隔離する順序は、フォレンジックの基本原則に従っています。インスタンスを実行状態のまま隔離することで、後続のメモリダンプや詳細調査も可能です。
Bインスタンスを即座に終了させ、最新のAMIから新しいインスタンスを起動して業務継続性を優先する
インスタンスを終了するとルートボリュームを含む全データと揮発性のメモリ情報が失われます。最新AMIからの復元では侵害時点の状態は保全できず、フォレンジック調査が不可能になります。
CSystems Manager Session Managerでインスタンスに接続し、不審なプロセスを手動で終了させてマルウェアスキャンを実行する
隔離が完了していない状態でSession Managerから接続してプロセスを終了させると、タイムスタンプや証拠データが改変されます。まずネットワーク隔離を完了してから操作すべきです。
DインスタンスのIAMロールから全権限を削除し、セキュリティパッチを適用してインシデントレポートを作成する
IAMロールからの権限削除はAWS APIレイヤーのみを遮断するため、インスタンス上で既に確立されたネットワーク接続や実行中のバックドアプロセスには影響を与えられません。
解説
フォレンジック調査の基本原則は「証拠保全を先行させ、その後に封じ込めを行う」ことです。まずEBSスナップショットを作成してディスクの状態を不変の形で保全し、続いてセキュリティグループを遮断専用のグループに変更して外部通信と横断移動を全遮断します。インスタンス自体は終了させずに維持することで、後続のメモリダンプやプロセス調査が可能な状態を確保できます。
選択肢Bのインスタンス終了は、揮発性のメモリデータや実行中プロセスを含む全証拠が失われ、フォレンジック調査が不可能になります。
選択肢CのSystems Manager Session Managerは、隔離が完了する前にインスタンスへ接続して操作すると証拠を改変するリスクがあります。
選択肢DのIAMロール権限削除はAWS APIコールを遮断できますが、既存のネットワーク接続や実行中プロセスには影響せず封じ込め効果が不十分です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →