無限ノック › SCS 練習問題一覧 › 問題
SCS検出

医療機関のセキュリティチームがHIPAA準拠のためにCloudTrail証跡を全リージョンで有効化している。セキュリティ監査により、過去2週間のCloudTrailログに特定の本番S3バケットへのDeleteObject操作が一切記録されていないことが判明した。同期間に実行されたDeleteBucketやPutBucketPolicyなどのバケットレベル操作は正常に記録されており、証跡のS3バケットへの配信に問題はない。最も可能性の高い原因と対処法の組み合わせはどれか。

A
CloudTrailの証跡でS3データイベントが有効化されておらず、DeleteObjectなどオブジェクトレベル操作は管理イベントとして記録されない仕組みになっている。証跡設定でS3データイベントを有効化する。
✓ 正解
CloudTrailのS3データイベントはデフォルトで無効であり、DeleteObjectなどオブジェクトレベル操作を記録するには証跡設定での別途有効化が必要。バケット操作のみ正常記録という状況と整合する。
B
CloudTrailの証跡でS3データイベントは有効化されているが、イベントセレクターのReadWriteTypeがReadに設定されており、DeleteObjectなどの書き込み操作が除外されている。ReadWriteTypeをAllに変更する。
CloudTrailのS3データイベントのReadWriteTypeをReadに設定した場合はDeleteObjectが除外されるが、データイベントを意図的に有効化した後の誤設定であり、未設定の状態より可能性が低い。
C
CloudTrailの詳細なイベントセレクターで対象バケットのARNリストが設定されており、本番バケットのARNが含まれていないため除外されている。セレクターにすべてのS3バケット(arn:aws:s3)を指定する。
CloudTrailの詳細なイベントセレクターでARNリストを設定した場合に対象バケット外が除外されることはあるが、意図的にARNリストを設定した場合に限られ、最も一般的な原因ではない。
D
本番S3バケットのバケットポリシーにCloudTrailサービスプリンシパル(cloudtrail.amazonaws.com)への許可が欠落しており、CloudTrailがオブジェクト操作を把握できない状態になっている。バケットポリシーを修正してアクセスを許可する。
S3バケットポリシーはオブジェクトへのアクセス制御を担うものであり、CloudTrailのAPIレイヤーでの操作記録の仕組みには影響しないため、バケットポリシー修正ではDeleteObject欠落は解決できない。

解説

CloudTrailではS3のオブジェクトレベル操作(DeleteObject等)はデータイベントに分類され、デフォルトでは記録されない。バケットレベル操作が正常記録されている事実から、データイベントの有効化漏れが最も可能性の高い原因。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
← SCS の問題一覧に戻る