SCSインシデント対応
ある企業のセキュリティチームは、本番VPC内のEC2インスタンスがGuardDutyにより「Backdoor:EC2/C&CActivity.B!DNS」として検出されました。チームは、フォレンジック調査のために揮発性メモリと現在のネットワーク接続状態を保全しつつ、インスタンスを稼働させたまま外部C&Cサーバとの通信のみを即座に遮断する必要があります。Auto Scalingグループ配下のため、インスタンス停止は新規起動を誘発します。最も適切な封じ込め手順はどれですか。
AインスタンスをAuto Scalingグループからデタッチし、すべての通信を拒否する隔離用セキュリティグループを適用したうえでEC2 Run Commandでメモリダンプを取得する
セキュリティグループはステートフルのため、許可ルールを持たない隔離用グループへ差し替えても確立済みセッションは追跡され維持され、C&Cへの既存通信を即座に遮断できないため要件に反する。
BインスタンスのENIに、アウトバウンド・インバウンドを全拒否するNetwork ACLが関連付けられたサブネットへ移動し、EBSスナップショットを取得する
Network ACLはステートレスで全拒否すれば通信遮断は可能だが、サブネット移動はインスタンスの再作成を伴い揮発性メモリが失われ、フォレンジックの保全要件を満たさない。
CインスタンスをAuto Scalingグループからデタッチし、確立済みセッションを維持する隔離用セキュリティグループへ差し替えたうえでSSM経由でメモリを取得する
✓ 正解
Auto Scalingからのデタッチで再起動の連鎖を防ぎ、ステートフルな隔離用セキュリティグループへの差し替えで既存セッションを保持したまま新規通信を遮断、SSMでメモリを保全でき要件を全て満たす。
Dインスタンスを直ちに停止してEBSスナップショットを取得し、別アカウントの隔離VPCで新規インスタンスとして復元する
インスタンスの停止により揮発性メモリと現在のネットワーク接続状態が失われ、稼働継続とフォレンジック保全という前提要件を満たさないため不適切。
解説
セキュリティグループはステートフルであり、新規の許可ルールを持たない隔離用セキュリティグループへ差し替えても、コネクション追跡されている既存の確立済みセッションは即座には切断されません。要件は「メモリ・接続状態の保全」と「C&C通信の遮断」の両立であり、まずAuto Scalingグループからデタッチして再起動の影響を排除し、SSMでメモリダンプを取得する手順が適切です。
選択肢Aの全拒否セキュリティグループは、ステートフルであるためアウトバウンド許可を削除しても既存接続は維持され、C&C通信を即座に遮断できない点で要件に反します。
選択肢BのNetwork ACLはステートレスで全拒否すると通信は遮断できますが、サブネット移動はインスタンス再作成を伴い揮発性メモリが失われ、フォレンジック要件を満たしません。
選択肢Dはインスタンス停止により揮発性メモリと接続状態が消失するため、保全要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →