SCSインシデント対応
ある製造業の企業が、ランサムウェア攻撃を受けてAWSリソースのデータが暗号化されました。事後調査により、攻撃者はIAM管理者権限を奪取してAWS Backupの既存バックアップを削除していたことが判明しました。再発防止策として、セキュリティ担当者はバックアップデータの不変性を保証し、IAM管理者やrootユーザーを含むいかなる主体でも保持期間中はバックアップを削除・変更できないようにする必要があります。この要件を最も効果的に実現するコントロールはどれですか？
AAWS Backupのバックアッププランにクロスリージョンコピーを設定し、別リージョンのバックアップボールトにバックアップを定期コピーして冗長性を確保する
クロスリージョンコピーはバックアップの冗長性確保に有効ですが、コピー先ボールトにVault Lockがない場合は攻撃者にコピーも削除される可能性があります。不変性を保証するものではないため、この要件には不十分です。
BAWS BackupボールトにVault Lockをコンプライアンスモードで設定し、保持期間中はrootユーザーを含むいかなる主体もバックアップを削除・変更できないようにする
✓ 正解
Vault Lockのコンプライアンスモードは保持期間中にrootユーザーを含む全主体がバックアップを削除・変更できなくするWORM保護です。クールダウン後は設定解除も不可能になり、ランサムウェア対策として最も強力な保護を提供します。
CAWS Organizations SCPでDeleteBackupVaultアクションを拒否するポリシーを組織全体に適用し、バックアップボールトの誤削除・不正削除を組織レベルで防止する
SCPはバックアップ削除を制限できますが、組織のマスターアカウントが侵害されSCPを変更・削除されると保護が失われます。Vault Lockは解除不能なためSCPより根本的に強力な不変性保護を提供します。
DバックアップデータをAmazon S3に直接エクスポートしてS3 Object Lockのコンプライアンスモードを設定し、オブジェクトレベルで保持期間を保証する
S3 Object LockはS3バケット内のオブジェクトに対してWORM保護を提供しますが、AWS Backupのボールト内に保存されているバックアップデータには直接適用できないため、この要件の解決策にはなりません。
解説
AWS Backup Vault Lockのコンプライアンスモードは、バックアップボールトにWORM（Write Once Read Many）保護を適用する機能です。設定された保持期間中は、rootユーザー・IAM管理者・AWSサポートを含むいかなる主体もバックアップを削除・変更できなくなります。クールダウン期間（72時間）を過ぎるとVault Lock自体の解除も不可能になるため、たとえIAM権限が侵害されてもバックアップの消去が防止されます。これがランサムウェア攻撃に対する最も強力なバックアップ保護手段です。
選択肢Aの「クロスリージョンコピー」は冗長性向上に有効ですが、コピー先のボールトにVault Lockがなければ攻撃者がコピーも削除できるため、不変性の保証にはなりません。
選択肢Cの「Organizations SCP」は有効な追加対策ですが、組織のマスターアカウントが侵害された場合にSCPを変更・削除されるリスクがあり、Vault Lockの暗号的な保護には及びません。
選択肢Dの「S3 Object Lock」はS3に直接保存されたオブジェクトに適用されますが、AWS Backupのバックアップボールト内に保存されているバックアップには直接適用できないため、要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →