SCSインシデント対応
ある金融機関のAmazon RDSデータベースインスタンス（PostgreSQL）が侵害された可能性があることが判明しました。攻撃者が不正な認証情報を使用してデータベースに接続し、顧客データを操作した疑いがあります。現在のデータベースを保護しながら、攻撃手法とデータ改ざんの範囲を調査するための最も適切な対応手順はどれですか？
ARDSインスタンスを即座に削除し、最新の自動スナップショットから新しいインスタンスを復元してサービスを継続する
インスタンスを削除するとDB設定パラメータやエラーログなど自動スナップショットには含まれない証拠情報が失われます。復元したインスタンスでは侵害当時の詳細な状態を完全には再現できません。
B自動バックアップの保持期間を最大値に延長して証拠の消失を防ぎ、CloudTrailでDBへのAPIコールを時系列で調査する
CloudTrailはRDSへのAWS APIコールは記録しますが、データベース内部で実行されたSQLクエリは記録しません。データ改ざん範囲の特定には実際のDBログ（postgresql.log）の分析が必要です。
CSecrets ManagerのDBパスワードを即時ローテーションし、Enhanced Monitoringを有効にして以降の不審なアクセスを継続監視する
パスワードローテーションは不正アクセスの継続を防ぐ封じ込め策として有効ですが、過去の侵害内容の調査や証拠保全を行うための手段ではなく、設問の要件を十分に満たしません。
D手動スナップショットを作成し、隔離されたVPC内に読み取り専用で複製を復元してフォレンジック分析を実施する
✓ 正解
手動スナップショットで証拠を保全し、隔離VPCに読み取り専用で復元することで本番データを改変せずに詳細な調査が可能です。RDSフォレンジックの標準的なアプローチです。
解説
RDSインスタンスのフォレンジック調査では、まず手動スナップショットを作成して現時点のデータベース状態を証拠として確実に保全します。次に、そのスナップショットから本番環境と完全に分離された隔離VPCに読み取り専用インスタンスとして復元することで、元のデータに一切影響を与えずに詳細なSQL分析やクエリログの調査が可能になります。PostgreSQLの場合はRDSログ（postgresql.log）をダウンロードして、いつ・誰が・どのクエリを実行したかを特定できます。
選択肢AのRDSインスタンス削除は、インスタンス固有のパラメータ設定やログファイルなど、スナップショットでは再現できない証拠を永久に失います。
選択肢BのCloudTrailによるAPIコール調査は有用ですが、データベース内部で実行されたSQLクエリはCloudTrailに記録されないため、データ改ざん範囲の特定には不十分です。
選択肢CのSecrets Managerパスワードローテーションは再侵害防止には有効ですが、既存の侵害内容の調査や証拠保全には直接対応できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →