SCSセキュリティの基盤とガバナンス
ある企業はAWS Organizationsで数十のアカウントを運用しており、すべてのApplication Load Balancer（ALB）に対しAWS WAFのマネージドルールグループを適用することを組織標準として義務付けたいと考えています。新規に作成されるALBにも自動的にWeb ACLが関連付けられ、未保護のALBは自動是正される必要があります。AWS ConfigはOrganizations全体で有効化済みで、セキュリティアカウントはFirewall Managerの委任管理者です。要件を最も低い運用負荷で満たす構成はどれですか。
A委任管理者アカウントでFirewall ManagerのAWS WAFポリシーを作成し、対象リソースタイプにALBを指定して自動修復を有効化し、新規ALBにも自動でWeb ACLを関連付ける
✓ 正解
Firewall ManagerのWAFポリシーは対象リソースタイプにALBを指定し自動修復を有効化することで、既存・新規のALBへWeb ACLを自動関連付けし未保護リソースを継続是正できる。Config有効化と委任管理者という前提も満たし最小運用負荷で要件を満たす。
B各アカウントで手動によりWeb ACLを作成してALBへ関連付け、AWS Configのマネージドルールで未関連付けのALBを検出して通知する
Config マネージドルールは未関連付けのALBを検出・通知できるが自動でWeb ACLを関連付ける修復は行わず、Web ACL作成も手動のため未保護ALBが残り運用負荷も高く、自動是正要件を満たさない。
CCloudFormation StackSetsでWeb ACLを全アカウントへ展開し、Lambda関数を定期実行して既存ALBへ関連付けを行う
StackSets+Lambdaの自前実装は関連付けが定期実行で即時性を欠き、Lambdaコードの保守という追加運用負荷が生じる。Firewall Managerという専用機能がある中で運用負荷最小とは言えない。
DSecurity HubのFirewall Manager統合を有効化し、調査結果に基づきSSM Automationの手動承認ランブックでWeb ACLを関連付ける
Security HubとSSM Automationの手動承認ランブックを介する構成は自動是正にならず、新規ALB作成時の即時適用も保証されない。手動承認を挟むため運用負荷が高く要件に合致しない。
解説
AWS Firewall Managerは、Organizationsと連携してWAFのWeb ACLやマネージドルールグループを組織全体に集中適用するための専用サービス。WAFポリシーでスコープ（対象アカウント・リソースタイプ・タグ）を定義し自動修復を有効化すると、既存および新規作成されるALBへ自動的にWeb ACLが関連付けられ、未保護リソースが継続的に是正される。Configが有効で委任管理者も設定済みという前提条件も満たしている。
選択肢1の手動作成+Config検出は、検出と通知のみで自動関連付け（修復）を行わないため未保護ALBが放置され、運用負荷も高い。
選択肢2のStackSets+Lambdaは自前実装で関連付けが定期実行のため即時性に欠け、保守すべきコードが増えて運用負荷が高い。
選択肢3はSecurity Hub経由かつ手動承認ランブックを介するため自動是正にならず、新規ALBへの即時適用も保証されない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →