SCSインフラストラクチャのセキュリティ複数選択
あるグローバルECサービスは、Amazon CloudFront、Application Load Balancer、Amazon Route 53を組み合わせたアーキテクチャを運用しています。過去に複数回の大規模DDoS攻撃を受け、攻撃時にはCloudFrontのデータ転送コストが通常の50倍に急増しました。セキュリティチームの要件は以下の3点です：
①DDoS攻撃によって発生した追加AWS料金の補填を受けること、
②攻撃中にAWSのDDoS専門家チーム（SRT）による能動的な支援を受けること、
③CloudFront・ALB・Route 53の全リソースを保護対象とすること。これらすべての要件を満たすAWSの設定として正しいものをすべて選んでください。（2つ選択）
AAWS Shield Advancedをサブスクライブし、CloudFront・ALB・Route 53のすべてを保護リソースとして登録する
✓ 正解
Shield Advancedのサブスクリプションと保護リソース登録は要件①（DDoSコスト補填）と要件③（全リソース保護）を満たす。登録リソースへのDDoS攻撃で生じた追加料金はAWSにクレジット申請でき、CloudFront・ALB・Route 53はすべて保護対象として登録可能。
BAWS Shield AdvancedのProactive Engagementを有効化し、Route 53ヘルスチェックを設定してリソースの可用性低下時にSRTが自動的にコンタクトできるように構成する
✓ 正解
Proactive Engagementの有効化とRoute 53ヘルスチェック設定は要件②（SRTによる能動的支援）を満たす。可用性低下をヘルスチェックが検知するとSRTが自動コンタクトして攻撃対策を能動的に支援する。選択肢Aのサブスクリプションと組み合わせることで全要件を充足する。
CAWS WAFに1分あたりのリクエスト数を制限するレートベースルールを作成し、CloudFrontディストリビューションにWebACLをアタッチしてHTTPフラッドを緩和する
WAFのレートベースルールはHTTPフラッド攻撃の緩和に有効だが、DDoS攻撃による追加費用の補填機能（要件①）もSRTへの24時間アクセス（要件②）も提供しない。3つの要件のいずれも単独では充足できない。
DAWS Shield Standardを有効化し、DDoS検知アラームをAmazon CloudWatchで設定してSNSトピックでセキュリティチームに通知する
Shield StandardはすべてのAWSアカウントに自動・無償で適用されるが、DDoSコスト保護（要件①）もSRTへの24時間アクセス（要件②）も含まれない。CloudWatchアラームはセキュリティチームへの通知手段であり、要件②のSRT専門家による能動的支援とは別物。
EAmazon CloudFrontにAWS WAFを関連付け、AWSManagedRulesCommonRuleSetマネージドルールグループを適用してWeb層の攻撃を防御する
WAFのAWSManagedRulesCommonRuleSetはSQLインジェクション・XSSなどのWebアプリ攻撃パターンへの対応ルールセットで、DDoSコスト補填（要件①）やSRT支援（要件②）には直接貢献しない。DDoS攻撃自体への保護効果も限定的で、要件を満たさない。
解説
AWS Shield Advancedは標準のShield Standardを超える高度なDDoS保護機能を提供する有償サービス（月額$3,000〜）。
要件①のDDoSコスト保護（Cost Protection）：Shield Advancedに登録された保護リソースに対してDDoS攻撃が起因で発生した追加AWS料金（CloudFrontのデータ転送・リクエスト数増加など）について、AWSにクレジット申請ができる。
要件②のSRTによる能動的支援：Shield AdvancedサブスクライバーはAWSのShield Response Team（SRT）に24時間365日アクセスできる。さらにProactive Engagementを有効化してRoute 53ヘルスチェックを設定すると、リソースの可用性が低下した際にSRTが能動的にコンタクトして対策を支援する。
要件③の保護対象：Shield AdvancedはCloudFront・ALB・Route 53・EC2 Elastic IP・Global Acceleratorをすべて保護リソースとして登録可能。
選択肢CのWAFレートベースルールはHTTPフラッド緩和には有効だが、DDoSコスト補填機能もSRTサポートも提供しない。
選択肢DのShield StandardはすべてのAWSアカウントに自動・無償で適用されるが、コスト保護もSRTアクセスも含まれない。
選択肢EのWAFマネージドルールはSQLインジェクションやXSSなどのWebアプリ脅威に対応するが、DDoS攻撃コストの補填やSRT支援には直接貢献しない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →