SCSインシデント対応
セキュリティアナリストが、IAMユーザーによる権限昇格インシデントを調査しています。攻撃者が過去90日間に実行した iam:AttachRolePolicy・sts:AssumeRole・iam:CreateAccessKey の呼び出しを特定し、対象リソースARNや発信元IPアドレスをSQL形式で横断的に分析する必要があります。AWS CloudTrail はすでにS3バケットへの証跡記録が有効になっていますが、CloudTrail Lake はこれまで有効化されていません。最も迅速に分析を開始できる方法はどれですか？
ACloudTrail コンソールの「イベント履歴」でIAMユーザーをフィルタリングし、iam:AttachRolePolicy などのAPIイベントを絞り込んで全期間分をCSVエクスポートしてからローカル環境のスプレッドシートで横断分析する
CloudTrailイベント履歴はコンソールからCSVエクスポートが可能ですが、フィルタ項目と表示件数に制約があり、SQL形式の分析はできません。90日分の複数APIを横断して発信元IPやリソースARNを集計するフォレンジック調査には実用上対応できず、スプレッドシート分析はスケールしません。
BAmazon Athena でS3上のCloudTrailログに対してGlueデータカタログにテーブルを作成し、パーティションプロジェクションを設定してSQL形式で指定APIイベントを過去90日分にわたって検索・集計する
✓ 正解
S3にCloudTrailログが既に存在する場合、AthenaのパーティションプロジェクションでAWSログのディレクトリ構造に対応したテーブルを定義すると、追加インフラなしで即座にSQLクエリが実行できます。APIアクション・発信元IPアドレス・リソースARNを横断検索する柔軟なフォレンジック分析が可能です。
CAmazon CloudTrail Lake を有効化してS3の既存CloudTrailログをインポートするジョブを作成し、インポート完了後にAWSが提供するサンプルクエリを使って権限昇格パターンをSQL分析する
CloudTrail Lakeは強力なSQL分析機能を持ちますが、S3から既存ログをインポートするジョブを実行・完了させる手順が必要です。インポートはデータ量に応じて長時間かかる場合があり、「最も迅速に分析を開始できる」という要件には合致しません。
DAmazon Detective でIAMユーザーのエンティティを選択し、GuardDuty 検出結果に紐づくAPIの時系列グラフやロールセッション間の関係性を調査グラフ上で視覚的に確認する
Amazon DetectiveはGuardDuty・CloudTrail・VPC Flow Logsを事前集計してエンティティ間の関係グラフを構築するサービスです。任意のIAM APIアクション（iam:AttachRolePolicyなど）を指定してSQL形式で検索・集計する機能は提供しておらず、この調査要件には適合しません。
解説
CloudTrailログがすでにS3に保存されている場合、Amazon AthenaでGlueデータカタログにテーブルを作成し、パーティションプロジェクション（年・月・日・アカウントID）を設定することで、既存ログを追加のインフラなしに即座にSQLクエリで分析できます。Athenaはサーバーレスのため、テーブル定義を作成した直後からクエリ実行が可能であり、iam:AttachRolePolicy・sts:AssumeRole・iam:CreateAccessKey をフィルタリングしてリソースARNや発信元IPアドレスを横断的に抽出できます。
選択肢AのCloudTrail イベント履歴はコンソール操作とCSVエクスポートのみに対応しており、SQL形式の横断検索や複数APIの集計分析には適していません。90日分の大量データを実用的に処理する手段がなく、フォレンジック調査には不十分です。
選択肢CのAmazon CloudTrail Lake はS3から既存ログをインポートするジョブを完了させる必要があり、データ量によっては数時間以上かかる可能性があるため「最も迅速」という要件を満たしません。
選択肢DのAmazon Detective はGuardDuty検出結果に基づく行動グラフ分析に特化したサービスであり、特定のIAM APIアクションをSQL形式で任意に検索・集計する機能は提供していません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →