SCSインシデント対応
ある企業がAWS Organizations で50以上のAWSアカウントを一元管理しています。セキュリティ監視チームが、開発用メンバーアカウントで複数リージョンにわたる大量のEC2インスタンス起動と管理者権限を持つ不審なIAMロールの作成を検出しました。攻撃者がそのアカウントのIAM認証情報を侵害して組織内の他アカウントへの横断攻撃を試みている可能性があり、組織全体への影響を最小化しながらアカウントを即時隔離する必要があります。フォレンジック調査のためのCloudTrailログを保全する前提で、最も適切な対応はどれですか？
A管理アカウントからSCPを作成して侵害されたメンバーアカウントに適用し、EC2・IAM・STS操作を拒否しながらCloudTrailログの確認とAWS Supportへのアクセスは許可する隔離ポリシーを設定する
✓ 正解
管理アカウントから適用するSCPはメンバーアカウント内のすべてのIAMエンティティの権限を上書きし、攻撃者が管理者権限を持っていても封じ込めが可能。CloudTrailとAWS Supportへのアクセスを維持することでフォレンジック調査の継続も担保でき、証拠保全要件を満たす正しい手順。
BOrganizationsコンソールからメンバーアカウントをすべてのOUから削除してスタンドアロンアカウントとして切り離し、ルートユーザーのパスワードをリセットして既存のIAMエンティティをすべて削除する
OUからアカウントを削除するだけでは侵害されたIAM認証情報は引き続き有効であり、攻撃者のアクセスを遮断できない。さらにIAMエンティティの削除はフォレンジック調査に必要な証拠を破壊するため不適切な対応手順となる。
CAWS Control TowerのAccount Factoryでアカウントを再プロビジョニングし、セキュリティガードレールを再適用して侵害されたIAMポリシーをすべて削除してから隔離OUに移動する
Account Factory（Control Tower）による再プロビジョニングはアカウントのIAM設定や構成を上書きするリスクがあり、フォレンジック証拠を保全する要件に反する。また処理に時間がかかるため緊急の封じ込め手順として実用的でない。
DIAM Access Analyzerを侵害されたアカウントで実行して外部アクセスの調査結果を生成し、Security Hubで検出結果をコンプライアンス違反として記録してから対応手順を決定する
IAM Access AnalyzerとSecurity Hubはリスクの可視化と記録には有効だが、進行中の攻撃をリアルタイムで封じ込める機能を持たない。対応手順の決定を分析後に先送りするアプローチでは、その間も攻撃が継続して被害が拡大するリスクがある。
解説
サービスコントロールポリシー（SCP）は管理アカウントから侵害されたメンバーアカウントに対して一方的に適用でき、アカウント内のすべてのIAMエンティティ（管理者権限を持つロールを含む）の権限よりも上位に評価されます。
EC2・IAM・STSへのDenyによって追加のインスタンス起動、新規ロール作成、クロスアカウントのSTSアサンプションをすべて遮断できます。同時にCloudTrailとAWS Supportへのアクセスを維持することで、管理アカウントの担当者がフォレンジック調査を継続できます。攻撃者がアカウント内でどのような権限を持っていてもSCPでDenyされた操作は実行できないため、確実な隔離が実現します。
選択肢BのOUからのアカウント削除はOrganizationsの管理構造から外すだけで侵害されたIAM認証情報は引き続き有効であり、IAMエンティティ削除はフォレンジック証拠を破壊する。
選択肢CのAccount Factoryによる再プロビジョニングはアカウントの設定を上書きしてCloudTrailログを含むフォレンジック証拠が失われるリスクがあり、封じ込め手順として不適切。
選択肢DのIAM Access AnalyzerとSecurity Hubは調査・可視化ツールであり進行中の攻撃を封じ込める機能を持たず、対応手順の決定を後回しにすると被害が拡大するリスクがある。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →