SCSインシデント対応
ある企業のセキュリティチームが、CI/CDパイプラインで使用していたIAMユーザーのアクセスキーが、第三者SaaSベンダーのデータ侵害（Data Breach：顧客データが不正に取得される事故）により外部に漏洩したことを確認しました。このアクセスキーには複数のS3バケットへのフルアクセス権限とEC2インスタンス起動権限があり、別のAWSアカウントへのクロスアカウントアクセスも許可されています。
セキュリティチームが最初に取るべきアクションとして最も適切なものはどれか？
A漏洩したアクセスキーを即座に無効化（Deactivate）した後、CloudTrailのイベント履歴で過去のAPI呼び出しを調査し、影響を受けたリソースと実行された操作内容を特定する
✓ 正解
インシデント対応の最優先事項は「封じ込め（Containment）」です。漏洩したアクセスキーを Deactivate（無効化）することで進行中の不正アクセスを即座に停止できます。削除ではなく無効化を選ぶことで、後の調査でキー情報を参照できます。その後 CloudTrail で実際の操作を確認し、被害範囲を特定します。
BIAMユーザーをすぐに削除してすべてのアクセスを完全に取り消し、新しいIAMロールベースの認証に切り替えてCI/CDパイプラインを再設定する
IAM ユーザー削除は有効な対策ですが、削除前に CloudTrail での活動確認が困難になるリスクがあります。また削除は無効化より取り消しが難しく、最初のステップとして適切ではありません。
CAWS Organizationsのサービスコントロールポリシー（SCP）を更新して、影響を受けるすべてのアカウントでS3操作とEC2起動を一時的に禁止する
SCP による一括制限は影響範囲が広すぎて本番サービスを停止させるリスクがあり、比例した対応ではありません。
D影響を受けるS3バケットのバケットポリシーをすべて削除してアクセスを遮断し、EC2セキュリティグループのインバウンドルールをすべて削除する
S3 バケットポリシー削除は正当なアクセスも遮断し、不正アクセスを直接止める手段としては迂回策であり適切ではありません。
解説
インシデント対応の最優先事項は「封じ込め（Containment）」です。漏洩したアクセスキーを Deactivate（無効化）することで進行中の不正アクセスを即座に停止できます。削除ではなく無効化を選ぶことで、後の調査でキー情報を参照できます。その後 CloudTrail で実際の操作を確認し、被害範囲を特定します。
選択肢B の IAM ユーザー削除は有効な対策ですが、削除前に CloudTrail での活動確認が困難になるリスクがあります。また削除は無効化より取り消しが難しく、最初のステップとして適切ではありません。
選択肢C の SCP による一括制限は影響範囲が広すぎて本番サービスを停止させるリスクがあり、比例した対応ではありません。
選択肢D の S3 バケットポリシー削除は正当なアクセスも遮断し、不正アクセスを直接止める手段としては迂回策であり適切ではありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →