解説

インシデント対応の基本手順は「証拠保全 → 封じ込め → 根絶」の順序で行います。RDSのケースでは、まずスナップショットを取得してデータベースの現状を変更なく保全し、次にセキュリティグループを変更してインバウンドアクセスを全遮断して攻撃者の接続を切断します。最後にSecrets ManagerでDBパスワードをローテーションして漏洩した認証情報を無効化します。この順序がフォレンジック証拠の完全性を維持しながら被害の拡大を防ぐ最善のシーケンスです。 選択肢Aはスナップショットによるデータベース状態の保全という最初のステップは正しいですが、その後もセキュリティグループを変更せず攻撃者のアクセスを継続させており、封じ込めが実施されないため被害が拡大し続けます。Performance InsightsとSecurity HubはDB調査の補助ツールであり、攻撃を止める機能を持ちません。 選択肢CのNetwork Firewallは有効な対策ですが、RDSインスタンスを別VPCに移行することは複雑で時間がかかり、その間も攻撃が継続します。またIAMポリシーはデータベース内部のSQL認証を直接制御しません。 選択肢DのRDSインスタンス削除は、稼働中インスタンスが持つ揮発性の状態を失い証拠を毀損するリスクがあります。CloudWatchログにはSQLクエリの内容は記録されないため詳細な調査が困難になります。