SCSインフラストラクチャのセキュリティ
ある金融機関のセキュリティチームは、VPC内のEC2インスタンスからのS3アクセスをVPCゲートウェイエンドポイント経由のみに制限しています。ペネトレーションテストにより、EC2インスタンスが侵害された場合に奪取したIAM認証情報を利用して、攻撃者所有のS3バケット（自社Organizations外）へデータを持ち出せることが判明しました。EC2インスタンスに付与しているIAMロールのポリシーを変更せずに、組織外のS3バケットへのデータ持ち出しを防止する最も効果的な方法はどれですか？
AVPCゲートウェイエンドポイントのエンドポイントポリシーにaws:ResourceOrgIDグローバル条件キーを使用して、自社のAWS Organizations IDに属するS3バケットへのアクセスのみを許可する
✓ 正解
VPCエンドポイントポリシーはIAMポリシーと独立した追加の制御レイヤーとして機能し、aws:ResourceOrgID条件でアクセス先S3バケットが自社Organizations内かを評価する。IAMポリシー変更なしに奪取済み認証情報による外部バケットへのデータ持ち出しを防止できる最も効果的な手段である。
B自社が管理するすべてのS3バケットにバケットポリシーを設定し、aws:SourceVpce条件でVPCゲートウェイエンドポイントIDと一致するリクエストのみを許可する
自社バケットへのバケットポリシー設定は自社バケットへの不正アクセス防止に有効だが、攻撃者が所有する外部バケットのポリシーは自社側から制御できない。侵害された認証情報を使って外部バケットにデータを書き込む操作を事前に防止することはできない。
CAmazon Macieを有効化して機密データを含むS3バケットを検出し、Amazon GuardDutyのS3保護機能で不審なAPIコールをリアルタイムに検知してEventBridgeで自動ブロックする
MacieとGuardDutyは機密データ検出や不審なAPIコールの検知を行う発見的制御ツールであり、データ持ち出しを実行前に防止する予防的制御ではない。EventBridgeによる自動ブロックも対応に時間差が生じるため、即時の防止策として不十分である。
DS3ブロックパブリックアクセスをAWS Organizationsのサービスコントロールポリシー（SCP）で全アカウントに強制し、パブリックバケットへのデータ持ち出しを組織全体でブロックする
S3ブロックパブリックアクセスはパブリックACLや公開設定の誤りを防ぐ機能であり、有効なIAM認証情報を使った認証済みリクエストによるプライベートバケットへのアクセスは制御できない。SCPによる強制も攻撃者が所有する外部バケットには適用されない。
解説
VPCエンドポイントポリシーは、ゲートウェイエンドポイントを通過するすべてのS3リクエストに対してIAMポリシーとは独立して評価される追加のアクセス制御レイヤー。IAMポリシーとエンドポイントポリシーはAND条件で評価されるため、IAMロールにS3フルアクセスが付与されていても、エンドポイントポリシーで制限されたバケットにしかアクセスできない。
aws:ResourceOrgIDグローバル条件キーは「アクセス先のリソース（S3バケット）が指定したAWS Organizations IDに属しているか」を評価する。エンドポイントポリシーにaws:ResourceOrgID = 自社Org IDの条件を追加することで、エンドポイント経由のS3アクセスを自社Organizations内のバケットに限定でき、たとえIAM認証情報が奪取されても攻撃者は外部バケットにデータを持ち出せなくなる。IAMポリシーの変更が不要な点もこのアプローチの特長。
選択肢Bの自社バケットへのバケットポリシー設定は「外部から自社バケットへの不正アクセスを防ぐ」効果はあるが、攻撃者が所有する外部バケットのポリシーは制御できないため外部バケットへのデータ持ち出しを防止できない。
選択肢CのMacieとGuardDutyは事後的な検知ツールであり、データ持ち出しを実行前に防止する予防的制御ではなく発見的制御に分類される。
選択肢DのS3ブロックパブリックアクセスはパブリックACLや公開設定の誤りを防ぐ機能であり、認証済みIAM認証情報を使用したプライベートバケットへのアクセスは制御できない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →