SCSインシデント対応
ある企業のセキュリティチームは、EC2インスタンスに割り当てられたIAMロールの一時クレデンシャルが、インスタンスメタデータサービス（IMDS）への不正アクセスにより外部に流出した疑いがあることを検知しました。
このIAMロールにはS3、DynamoDB、SQSへの広範なアクセス権限が付与されています。
侵害の影響を最小化しながら調査を進めるために、最初に取るべき対応として最も適切なものはどれですか？
A流出した一時クレデンシャルが使用されている外部IPアドレスをGuardDutyで特定し、AWS WAFでそのIPをブロックする
AWS WAFはHTTPリクエストのフィルタリングを行うサービスであり、AWSサービスAPIへの不正アクセスをブロックすることはできません。GuardDutyによるIP特定と組み合わせても、クレデンシャルの封じ込めには不十分です。
BIAMコンソールの「アクティブセッションを取り消す」機能を使用して発行済みの一時クレデンシャルをすべて無効化し、並行してCloudTrailで当該ロールを使用したAPIコールを調査する
✓ 正解
IAMロールの「アクティブセッションを取り消す」機能は、現在時刻以前に発行されたすべての一時クレデンシャルを拒否するインラインポリシーをロールにアタッチし、流出した認証情報を即座に無効化できる最も迅速な封じ込め手段です。並行してCloudTrailで調査することで、侵害の影響範囲を特定できます。
CEC2インスタンスを即座に終了し、新しいIAMロールを作成してから新しいインスタンスを起動する
EC2インスタンスの終了は揮発性証拠を失わせ、発行済みの一時クレデンシャルはインスタンス終了後も有効期限まで使用可能なため、根本的な封じ込めにはなりません。
DAWS Configで対象ロールの設定変更履歴を確認し、不審な変更が確認できた場合のみ対応を行う
AWS Configは設定変更の事後検出ツールであり、調査完了を待ってから対応すると不正利用が継続するリスクがあります。封じ込めを先行させることが重要です。
解説
IAMロールの「アクティブセッションを取り消す」機能は、現在時刻以前に発行されたすべての一時クレデンシャルを拒否するインラインポリシーをロールにアタッチし、流出した認証情報を即座に無効化できる最も迅速な封じ込め手段です。並行してCloudTrailで調査することで、侵害の影響範囲を特定できます。
選択肢AのGuardDutyで特定したIPアドレスをAWS WAFでブロックすることはWAFはHTTPリクエストのフィルタリングであり、AWSサービスAPIへの不正アクセスをブロックすることはできないため不適切です。
選択肢CのEC2インスタンスを即座に終了することはインスタンス終了では揮発性証拠が失われ、また一時クレデンシャルはインスタンス終了後も有効期限まで使用可能なため根本的な封じ込めにはなりません。
選択肢DのAWS Configで対象ロールの設定変更履歴を確認することは調査完了を待ってから対応すると不正利用が継続するリスクがあり、封じ込めを優先すべきです。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →