SCSインフラストラクチャのセキュリティ
ある大企業はAWS Organizationsを使って120のAWSアカウントを管理しています。セキュリティ監査で、複数のアカウントのEC2インスタンスにSSH（ポート22）とRDP（ポート3389）が0.0.0.0/0（全インターネット）に公開されたセキュリティグループが存在することが判明しました。
セキュリティチームは以下を要件としています：
・既存の非準拠セキュリティグループを自動的に検出・修復する
・今後のセキュリティグループ変更で同様の違反が発生した場合にも継続的に自動修復する
・Organizationsに新規追加されるアカウントにも自動でポリシーが適用される
・セキュリティチームが個別アカウントにアクセスする作業負荷を最小化する
この要件を最も効率的に満たすソリューションはどれですか？
AAWS Configのマネージドルール「restricted-ssh」「restricted-rdp」をAWS CloudFormation StackSetsで全アカウントにデプロイし、AWS Systems Manager AutomationドキュメントでSSM自動修復を設定する
AWS Config＋CloudFormation StackSets＋SSM Automationは機能しますが、StackSetsへの新規アカウント自動登録設定や修復Automationとの連携が別途必要で運用負荷が高くなります。
BAWS Firewall ManagerのContent Audit Security Group Policyを設定して違反ルール（0.0.0.0/0へのSSH/RDP）の自動修復を有効化し、Organizations全体をスコープとして適用する
✓ 正解
AWS Firewall ManagerはOrganizations全体のセキュリティポリシーを一元管理します。Content Audit Security Group Policyでは禁止するルールパターンを定義でき、自動修復を有効にすることで違反ルールを継続的に検知・削除できます。Organizations設定により新規アカウントへも自動適用されます。
CAmazon EventBridgeのOrganizations全体向けイベントバスを設定し、セキュリティグループの変更イベントをキャプチャしてAWS Lambdaで非準拠ルールを削除するカスタムロジックを実装する
Amazon EventBridge＋Lambdaによるカスタム実装は手動実装が必要でクロスアカウント展開の設定が複雑であり、スケーラビリティと保守性に課題があります。
DAWS Security Hubの「AWS Foundational Security Best Practices」標準を全アカウントで有効化し、EC2関連の検出結果に対してカスタムアクションでAWS Step Functionsの修復ワークフローをトリガーする
AWS Security Hubは検出には優れていますが、修復はカスタムアクションとStep Functionsの追加実装が必要で、Firewall Managerのネイティブ自動修復と比べて複雑です。
解説
AWS Firewall ManagerはOrganizations全体のセキュリティポリシーを一元管理します。Content Audit Security Group Policyでは禁止するルールパターンを定義でき、自動修復を有効にすることで違反ルールを継続的に検知・削除できます。Organizations設定により新規アカウントへも自動適用されます。
選択肢AのAWS Config＋CloudFormation StackSets＋SSM Automationは機能しますが、StackSetsへの新規アカウント自動登録設定や修復Automationとの連携が別途必要で運用負荷が高くなります。
選択肢CのAmazon EventBridge＋Lambdaによるカスタム実装は手動実装が必要でクロスアカウント展開の設定が複雑であり、スケーラビリティと保守性に課題があります。
選択肢DのAWS Security Hubは検出には優れていますが、修復はカスタムアクションとStep Functionsの追加実装が必要で、Firewall Managerのネイティブ自動修復と比べて複雑です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →