SCSインフラストラクチャのセキュリティ
AWS Organizationsで50のAWSアカウントを管理している企業のセキュリティチームが、以下の要件を達成したいと考えています。
・すべてのアカウントのApplication Load BalancerにAWS WAFのマネージドルールを強制適用する
・新しいアカウントが組織に追加された際も自動的にWAFルールが適用される
・個々のアカウントのチームがWAFルールを削除・変更できないようにする
最小限の運用オーバーヘッドでこれらの要件をすべて満たすための最善のアプローチはどれですか？
A各アカウントにCloudFormation StackSetsでWAFルールを展開し、SCPs（サービスコントロールポリシー）でwaf:DeleteWebACLアクションを拒否する
CloudFormation StackSets（SERVICE_MANAGEDタイプ）は新しいアカウントへの自動展開が可能ですが、SCPsで`waf:DeleteWebACL`のみを拒否しても関連操作でWAF保護を弱めることが可能で、Firewall Managerと比較して構成が複雑になります。
BAWS Firewall Managerのセキュリティポリシーを作成し、AWS Organizations全体のALBに対してWAFルールを自動適用・強制する
✓ 正解
AWS Firewall Managerは、AWS Organizations全体のアカウントにWAF・セキュリティグループ・Network Firewallなどのポリシーを一元管理・自動適用するサービスです。新しいアカウントへの自動適用、管理者以外による変更を防ぐ強制ポリシー設定が可能で、3つの要件をすべて最小の運用コストで満たします。
CAWS Configルールで非準拠のWAFリソースを検出し、EventBridgeとLambda関数を組み合わせて自動修復する
AWS Configによる検出と自動修復はリアクティブな制御であり、WAFルールが削除されてから修復されるまでの間に保護されない時間が発生し、予防的制御の要件を満たしません。
D管理アカウントからクロスアカウントロールで各アカウントに定期アクセスし、WAFルールを同期するLambda関数を実装する
カスタムLambda関数による同期はゼロから実装・維持するコストが高く、Firewall Managerが提供するマネージドな機能と比較して信頼性・効率性で大きく劣ります。
解説
AWS Firewall Managerは、AWS Organizations全体のアカウントにWAF・セキュリティグループ・Network Firewallなどのポリシーを一元管理・自動適用するサービスです。新しいアカウントへの自動適用、管理者以外による変更を防ぐ強制ポリシー設定が可能で、3つの要件をすべて最小の運用コストで満たします。
選択肢Aは誤りです。CloudFormation StackSets（SERVICE_MANAGEDタイプ）は新しいアカウントへの自動展開が可能ですが、SCPsで`waf:DeleteWebACL`のみを拒否しても`waf:DisassociateWebACL`や`waf:UpdateWebACL`などの操作でWAF保護を弱めることが可能です。Firewall Managerの強制ポリシーと比較して複数サービスの組み合わせが必要となり、構成の複雑さと管理コストが増します。
選択肢Cは誤りです。AWS Configによる検出と自動修復はリアクティブな制御であり、WAFルールが削除されてから修復されるまでの間、保護されない時間が発生します。要件にある「変更できないようにする」という予防的制御を満たしません。
選択肢Dは誤りです。カスタムLambda関数による同期はゼロから実装・維持するコストが高く、Firewall Managerが提供するマネージドな機能と比較して信頼性・効率性で大きく劣ります。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →