SCSインシデント対応
セキュリティチームが、本番環境のEC2インスタンス（EBS-backed）でルートキット感染を疑う不審な挙動を検知しました。証拠の保全を最優先としながら、本番サービスへの影響を最小限に抑えてフォレンジック調査を行う必要があります。次のうち最も適切な手順はどれですか？
A侵害されたインスタンスに直接SSHで接続し、メモリダンプとファイルシステムのコピーを取得してからインスタンスを終了する
ルートキット環境ではls・psなどの基本コマンド出力が攻撃者によって改ざんされている可能性があり、収集した証拠の信頼性が損なわれます。Chain of Custody（証拠の連鎖保管性）の観点からも不適切な手順です。
Bインスタンスを即座にTerminate（終了）してバックアップAMIから新しいインスタンスを起動し、問題の再現性を確認する
インスタンスをTerminateするとインスタンスストアのデータとメモリ上の揮発性データが永久に消去され、ルートキットバイナリや改ざん証跡などOSレベルの重要なフォレンジック証拠が回復不可能な形で失われます。
C侵害されたインスタンスのEBSボリュームのスナップショットを作成し、インスタンスを全通信拒否の隔離用セキュリティグループに移動した後、フォレンジック専用VPCでスナップショットからボリュームを作成して安全に分析する
✓ 正解
EBSスナップショットで不変の証拠コピーを保全し、隔離用セキュリティグループで攻撃者の通信を完全に遮断した後、フォレンジック専用VPCで安全に分析するフォレンジックのベストプラクティスに沿った最適な手順です。
DAWS CloudTrailのAPI呼び出し履歴とVPC Flow Logsのみを確認し、ホストレベルのフォレンジックを実施せず調査を完結させる
CloudTrailはAPI操作ログを、VPC Flow Logsはネットワーク通信ログを記録しますが、ルートキットバイナリ・改ざんされたファイル・不審なプロセスなどホストレベルの詳細なフォレンジック証拠の収集には不十分です。
解説
フォレンジックのベストプラクティスは「証拠保全→隔離→安全な分析環境での解析」の順序で実施することです。EBSスナップショットはポイントインタイムの不変コピーを作成し、元のボリュームデータを保全します。次に侵害インスタンスをインバウンド・アウトバウンドとも空ルールのセキュリティグループに変更することで、攻撃者の継続アクセスと外部へのデータ漏洩を防ぎながらインスタンスを保持します。その後、スナップショットからフォレンジック専用VPC内の分析インスタンスにボリュームをアタッチして解析することで、本番環境への影響なく安全に調査できます。
選択肢Aの直接SSH接続は、ルートキット環境ではls・psなどのコマンド出力が改ざんされている可能性があり、Chain of Custody（証拠の連鎖保管性）を損ないます。
選択肢BのTerminate（終了）はインスタンスストアのデータとメモリの揮発性データが永久に消去され、OSレベルの重要な証拠が失われます。
選択肢DのCloudTrailとVPC Flow Logsのみの確認は、ファイルシステム・プロセス・ルートキットバイナリなどホストレベルの詳細フォレンジックには不十分です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →