解説

アクセスキーの無効化で当該キーを使った新規APIコールを即座に遮断できる。さらにDeny Allインラインポリシーをアタッチするとコンソールサインインなど他の認証経路も封鎖される二重の封じ込めになる。ユーザーを削除しないためCloudTrailのイベント履歴との相関調査も引き続き可能であり、インシデント対応の「封じ込め→調査」の原則に沿っている。 選択肢AはIAMユーザーを削除するとユーザーに紐づくCloudTrailログの相関調査が困難になり、フォレンジック情報が失われるリスクがある。 選択肢CはSCPでアカウント全体をブロックすると正常な業務オペレーションも完全に停止し、ビジネスへの影響が過大になる。封じ込め範囲は侵害されたエンティティに限定すべきである。 選択肢Dは調査を先行させている間も攻撃者が活動を継続し被害が拡大する。インシデント対応の基本原則は封じ込めを優先してから調査に移ることである。