SCSデータ保護
ある金融機関が、AWS Direct Connectの専用接続（Dedicated Connection）でオンプレミスデータセンターとAWS VPCを接続しています。規制当局からの指示により、顧客の金融取引データをオンプレミスとAWS間で転送する際、物理的なネットワークインフラ上での盗聴・改ざんを防ぐためOSIモデルのレイヤー2（データリンク層）での暗号化が義務付けられました。既存のネットワーク機器はIEEE 802.1AEに対応しており、現在の帯域幅（10Gbps）を最大限に活用したいと考えています。この要件に最適なソリューションはどれですか？
ADirect ConnectのDedicated ConnectionでMACsec（IEEE 802.1AE）を有効化し、AES-256-GCMでレイヤー2イーサネットフレームを暗号化・認証する
✓ 正解
MACsec（IEEE 802.1AE）はDirect ConnectのDedicated Connectionでサポートされるレイヤー2暗号化規格です。AES-256-GCMでイーサネットフレームを暗号化・認証し、物理ネットワーク上での盗聴・改ざんを防止する規制要件に完全対応します。帯域幅へのオーバーヘッドも最小限です。
BDirect Connect接続の上にAWS Site-to-Site VPNトンネルを構成し、IPsecによるレイヤー3レベルのトンネル暗号化をオーバーレイで実装する
AWS Site-to-Site VPN（IPsec）はレイヤー3のトンネル暗号化であり、レイヤー2暗号化の規制要件を満たしません。VPNオーバーヘッドにより10Gbpsの帯域幅を最大限に活用することも困難となり、要件に対して不適切です。
Cすべてのアプリケーション通信にTLS 1.3を強制し、AWS ACMで発行した証明書をALBとAPI Gatewayに適用してエンドツーエンドの暗号化を確保する
TLS 1.3はトランスポート・アプリケーション層（レイヤー4〜7）での暗号化プロトコルです。物理ネットワーク上のレイヤー2フレームを保護するものではなく、規制当局が義務付けたレイヤー2暗号化の要件を満たしません。
DDirect Connect GatewayにAWS Network Firewallをアタッチし、ステートフルルールエンジンでトラフィックを検査・フィルタリングして通信を保護する
AWS Network FirewallはVPC内ネットワークのトラフィック検査・フィルタリングサービスです。レイヤー2の暗号化機能を持たず、Direct Connect Gatewayにアタッチしてレイヤー2暗号化を実現することもできません。
解説
MACsec（IEEE 802.1AE）はOSIモデルのレイヤー2（データリンク層）で動作する暗号化規格です。AWS Direct ConnectのDedicated Connectionでは、MACsecを設定することで物理ネットワーク上のイーサネットフレームをAES-256-GCMで暗号化・認証し、中間者攻撃や盗聴を防止します。Direct ConnectロケーションからAWSエッジまでのリンク全体でレイヤー2暗号化が適用されるため、規制要件を満たしつつ専用帯域幅を最大限に活用できます。
選択肢BのAWS Site-to-Site VPN（IPsec）はレイヤー3（ネットワーク層）で動作するトンネル暗号化であり、レイヤー2暗号化の規制要件を満たしません。またVPNオーバーヘッドにより実効帯域幅が低下します。
選択肢CのTLS 1.3はトランスポート・アプリケーション層（レイヤー4〜7）での暗号化プロトコルであり、物理ネットワーク上のレイヤー2フレームを保護するものではなく、規制要件のレイヤー2暗号化義務を満たしません。
選択肢DのAWS Network FirewallはVPC内のトラフィックを検査・フィルタリングするサービスであり、レイヤー2の暗号化機能を持たず、Direct Connect Gatewayへのアタッチでレイヤー2暗号化を実現することもできません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →