SCSインシデント対応
ある企業のセキュリティチームが、Amazon S3バケットに保存されていた重要な業務データが突然上書きされてアクセス不能になっていることを発見しました。攻撃者が何らかの方法でAWS認証情報を入手し、PutObject操作でオブジェクトを悪意のある内容で上書きした可能性があります。
調査にあたり、以下の条件があります。
・CloudTrailのS3データイベント（オブジェクトレベルAPIの記録）は事前に有効化されている
・攻撃の影響範囲（どのオブジェクトが、いつ、誰の認証情報で、どのIPアドレスから上書きされたか）を特定したい
最も効果的な調査方法はどれですか？
AAmazon Macieを使用して、バケット内の機密データをスキャンし、上書きされたオブジェクトを特定する
Amazon Macieは機密データの検出・分類サービスであり、オブジェクトが上書きされた操作の履歴を提供しません。侵害の影響範囲特定には不向きです。
BS3のサーバーアクセスログを確認し、PutObjectリクエストを時系列で並べて影響範囲を特定する
S3サーバーアクセスログも操作記録を持ちますが、ログ配信は「ベストエフォート」であり一部欠損する可能性があります。またIAMエンティティとの紐付けが難しく、CloudTrailデータイベントの方が調査精度が高くなります。
CCloudTrailのS3データイベントをAmazon Athenaでクエリし、攻撃時間帯のPutObject操作の実行者・送信元IP・対象オブジェクトを特定する
✓ 正解
S3オブジェクトレベルの操作（PutObject、DeleteObjectなど）はCloudTrailの「データイベント」として記録されます。このログをS3に保存しAmazon AthenaでSQLクエリを実行することで、攻撃時間帯の操作（実行したIAMエンティティ、送信元IPアドレス、対象オブジェクト名、タイムスタンプ）を効率的に特定でき、影響範囲の全体像を把握できます。
DAmazon CloudWatch Logs Insightsを使用して、CloudTrailの管理イベントからS3バケットポリシーの変更を分析する
CloudWatch Logs Insightsで管理イベントを分析しても、S3バケットポリシーの変更は把握できますが、オブジェクト単位の書き込み操作は管理イベントには記録されません。
解説
S3オブジェクトレベルの操作（PutObject、DeleteObjectなど）はCloudTrailの「データイベント」として記録されます。このログをS3に保存しAmazon AthenaでSQLクエリを実行することで、攻撃時間帯の操作（実行したIAMエンティティ、送信元IPアドレス、対象オブジェクト名、タイムスタンプ）を効率的に特定でき、影響範囲の全体像を把握できます。
選択肢AのAmazon Macieは機密データの検出・分類サービスであり、オブジェクトが上書きされた操作の履歴を提供しません。侵害の影響範囲特定には不向きです。
選択肢BのS3サーバーアクセスログも操作記録を持ちますが、ログ配信は「ベストエフォート」であり一部欠損する可能性があります。またIAMエンティティとの紐付けが難しく、CloudTrailデータイベントの方が調査精度が高くなります。
選択肢DのCloudWatch Logs Insightsで管理イベントを分析しても、S3バケットポリシーの変更は把握できますが、オブジェクト単位の書き込み操作は管理イベントには記録されません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →