無限ノック › SCS 練習問題一覧 › 問題SCS インフラストラクチャのセキュリティ
あるエンタープライズ企業は複数のVPCでワークロードを運用しています。セキュリティチームは、侵害されたEC2インスタンスがDNSクエリを使ってC2（Command & Control：攻撃者が侵害したシステムを遠隔操作するためのインフラ）サーバーと通信していることを発見しました。以下の要件を最小の管理オーバーヘッドで実現するには、どの対策が最も適切ですか？
・悪意のあるドメインへのDNSクエリを複数のVPCにわたって一元的にブロックする
・ブロックされたクエリをリアルタイムに監視・アラート通知する
A Route 53 Resolver DNS FirewallのルールグループをRAMで複数VPCと共有し、Resolverクエリログを有効化してCloudWatch Logsのメトリクスフィルターでアラームを設定する
✓ 正解
Route 53 Resolver DNS Firewallは、VPCのDNS解決レイヤーで悪意あるドメインをブロックするマネージドサービスです。ルールグループをRAMで複数VPCと共有し、Resolverクエリログとメトリクスフィルターを組み合わせることで、一元ブロックとリアルタイム監視の両要件を低コストで満たします。
B 集中型検査VPCにAWS Network FirewallをデプロイしてステートフルなDNSインスペクションルールを設定し、すべてのVPCのDNSトラフィックをAWS Transit Gatewayのルーティングポリシー経由で集中フィルタリングする
AWS Network Firewallは高度なネットワーク検査に優れますが、集中型VPCとTransit Gatewayを組み合わせた構成は設計・運用が複雑でコストも高く、DNS専用ブロックにはDNS Firewallの方が管理オーバーヘッドが小さく適切です。
C Route 53 Resolverのフォワーディングルールを設定し、すべてのDNSクエリを中央VPCに配置したカスタムDNSフィルタリングプロキシに転送する
Route 53 ResolverのフォワーディングルールでカスタムDNSプロキシへ転送する方法は、プロキシサーバーの構築・維持・スケーリングを自己管理する必要があり、マネージドサービスのDNS Firewallと比べて管理オーバーヘッドが大きくなります。
D Amazon GuardDutyを有効化してDNSベースのC2通信を検出し、Amazon EventBridgeでLambdaをトリガーしてセキュリティグループルールを更新することで侵害インスタンスのネットワーク通信を自動隔離する
Amazon GuardDutyはDNSベースのC2通信を高精度に検出できますが、EventBridgeとLambdaによる自動隔離は侵害後の事後対応であり、悪意あるDNSクエリをリアルタイムにブロックして通信を未然に防ぐ機能はありません。
解説 Route 53 Resolver DNS Firewallは、VPCのDNS解決レイヤーで悪意あるドメインへのクエリをブロックするために設計されたマネージドサービスです。ルールグループをAWS Resource Access Manager（RAM）で共有することで複数のVPCへの一元展開を追加コストなしで実現でき、Resolverクエリログを有効化してCloudWatch Logsのメトリクスフィルターと組み合わせることでリアルタイム監視も可能です。
AWS Network Firewallも悪意ある通信をブロックできますが、集中型VPCとTransit Gatewayを用いた構成は設計・運用が複雑でコストも高く、DNS専用のブロックにはDNS Firewallの方が管理オーバーヘッドが低く適切です。
Route 53 ResolverのフォワーディングルールでカスタムDNSプロキシに転送する方法は、プロキシサーバーの構築・維持・スケーリングを自己管理する必要があり、管理オーバーヘッドが増大します。
Amazon GuardDutyはDNSベースのC2通信を検出できますが、EventBridgeとLambdaによる自動隔離は事後対応であり、悪意あるDNSクエリをリアルタイムにブロックする機能はありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →