解説

インシデント対応の基本原則は「封じ込め → 証拠収集 → 根絶 → 復旧」の順序です。 タスクロールへのDenyポリシー追加はAWSのポリシー評価においてDenyが最優先されるため、実行中のECSタスクがSecrets Manager APIを呼び出してもIAMレベルで即時拒否されます。これにより追加のシークレット漏洩を封じ込めながらタスクは稼働を継続するため、CloudWatch LogsやVPC Flow Logsでリアルタイムの通信ログを収集できます。 ECS Fargateのタスクログは停止後もCloudWatch Logsに保持されますが、Denyポリシーで封じ込めを先に実施してから停止することで、より安全なインシデント対応手順となります。 選択肢AのECSサービス停止の先行実施は、Denyポリシーがないまま希望タスク数を0に設定する過程でGetSecretValue APIコールが継続するリスクがあり、封じ込め順序として不適切。 選択肢CのECSタスク定義更新とフォースデプロイは、侵害されたコンテナの設定情報を上書きしてフォレンジック証拠を消失させ、調査前のシークレットローテーションは根本原因分析を妨げる。 選択肢DのAmazon Detectiveは調査・分析ツールであり進行中の脅威を封じ込める機能を持たず、シークレット削除はサービスに影響する破壊的行為となる。