SCSインシデント対応
あるセキュリティチームが、本番環境のEC2インスタンスへの不正アクセスを検出しました。そのインスタンスはAuto Scaling Groupに所属しており、IAMインスタンスプロファイルが付与されています。ASGのヘルスチェック失敗によりインスタンスが自動的に終了されるリスクがあります。フォレンジック調査のために証拠を保全しながら脅威を封じ込める最初の対応として、最も適切なものはどれですか？
Aインスタンスをすぐに終了（terminate）してAMIから新規インスタンスを起動し、不正アクセスの影響を最小限に抑えた上で、CloudTrailログからAPIアクティビティを遡及調査する
インスタンスの即時終了はディスク・メモリ上の揮発性証拠をすべて消滅させます。CloudTrailはAPIアクティビティのみ記録しており、ディスクやメモリ上のフォレンジック証拠の代替にはなりません。
BインスタンスをAuto Scaling Groupからデタッチし、すべての通信を拒否する隔離用セキュリティグループに変更した後、EBSボリュームのスナップショットを取得する
✓ 正解
ASGからのデタッチで自動終了を防止し、隔離用セキュリティグループで通信を遮断してからスナップショットを取得する手順は、封じ込めと証拠保全を正しい順序で実現するフォレンジック手順です。
CEBSボリュームのスナップショットを取得してからElastic IPを付与し、SSH経由でフォレンジックツールをインスタンス上で直接実行して揮発性データを採取する
スナップショット取得前にSSHでインスタンスに接続してツールを実行すると証拠が汚染されます。また隔離前にElastic IPを付与すると攻撃者が再接続できるリスクが生じます。
DインスタンスのIAMロールを権限のないロールに付け替え、Amazon Inspectorを起動して脆弱性スキャンを実行した後、スキャン完了後にインスタンスを終了する
Amazon Inspectorはシステムの脆弱性スキャンツールであり、インシデント対応中の封じ込めや証拠保全には使用しません。IAMロール変更は有効ですが、Inspectorスキャンは初動対応として不適切です。
解説
フォレンジック対応では「封じ込め（Containment）→ 証拠保全 → 調査」の順序が重要です。
選択肢Bは、ASGからデタッチ→隔離用SGへ変更→EBSスナップショット取得という手順が正しいフォレンジック対応です。ASGデタッチでヘルスチェックによる自動終了を防ぎ、隔離SGで攻撃者の追加アクセスや外部通信を遮断し、最後にスナップショットでディスク状態を証拠として保全します。
選択肢Aは、インスタンスを即時終了するとディスクおよびメモリ上の証拠が消滅し、フォレンジック調査に必要な証拠が失われます。CloudTrailログのみでは揮発性データや詳細なシステム状態を復元できません。
選択肢Cは、SSH接続によるフォレンジックツールの直接実行はインスタンス上の証拠を汚染するリスクがあります。またElastic IP付与は隔離前に外部通信経路を開く可能性があり不適切です。
選択肢Dは、Amazon Inspectorは脆弱性スキャンツールであり、インシデント発生中の封じ込めや証拠保全には不適切です。IAMロール変更も有効な手段ですが、先にASGデタッチと通信遮断を行うべきです。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →