無限ノック › SCS 練習問題一覧 › 問題SCS 検出
ある金融機関のセキュリティチームは、業界の情報共有コミュニティ（ISAC：Information Sharing and Analysis Center、金融業界における脅威情報を共有する組織）から定期的に提供される、攻撃グループが使用する悪意あるIPアドレスのリストを保有しています。このリストをAWSの検出基盤に組み込み、これらのIPアドレスとの通信が発生した際にGuardDutyの検出結果として通知されるようにしたいと考えています。最も適切な対応はどれですか？
A 悪意あるIPアドレスリストをAmazon S3に配置し、Amazon GuardDutyのカスタム脅威IPリストとして登録・有効化する
✓ 正解
Amazon GuardDutyはカスタム脅威IPリスト機能をサポートしており、S3に配置したIPアドレスリストを登録すると、VPC Flow LogsやDNSクエリのデータと照合し、対象IPとの通信が発生した際に検出結果として通知します。組織固有の脅威インテリジェンスをAWSネイティブの検出基盤に組み込む標準的な方法です。
B 悪意あるIPアドレスをAWS WAFのIPセットに登録し、該当IPからのリクエストをブロックするルールグループを作成する
AWS WAFのIPセットは、HTTP/HTTPSリクエストをフィルタリングして「ブロック」するものであり、本問の要件（通信を検知してGuardDutyで通知する）とは目的が異なります。またすべてのネットワーク通信を対象にできません。
C 悪意あるIPアドレスレンジをVPC Network ACL（NACL）の拒否ルールに追加し、対象IPとの通信を遮断する
VPC NACLの拒否ルールは大量のIPアドレス管理には非効率で、ルール数上限の制約もあります。また定期更新される脅威インテリジェンスリストへの動的な対応が困難です。
D AWS Firewall Managerで悪意あるIPアドレスに対するポリシーを作成し、Organizations配下の全VPCに適用する
AWS Firewall Managerはファイアウォールポリシーの一元管理サービスであり、通信の「検知・通知」機能はなく、ブロック用途です。本問の検出・アラート要件には合いません。
解説 Amazon GuardDutyはカスタム脅威IPリスト機能をサポートしており、S3に配置したIPアドレスリストを登録すると、VPC Flow LogsやDNSクエリのデータと照合し、対象IPとの通信が発生した際に検出結果として通知します。組織固有の脅威インテリジェンスをAWSネイティブの検出基盤に組み込む標準的な方法です。
選択肢BのAWS WAFのIPセットは、HTTP/HTTPSリクエストをフィルタリングして「ブロック」するものであり、本問の要件（通信を検知してGuardDutyで通知する）とは目的が異なります。またすべてのネットワーク通信を対象にできません。
選択肢CのVPC NACLの拒否ルールは大量のIPアドレス管理には非効率で、ルール数上限の制約もあります。また定期更新される脅威インテリジェンスリストへの動的な対応が困難です。
選択肢DのAWS Firewall Managerはファイアウォールポリシーの一元管理サービスであり、通信の「検知・通知」機能はなく、ブロック用途です。本問の検出・アラート要件には合いません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →