SCSインシデント対応
あるセキュリティアナリストは、漏洩した可能性のあるIAMユーザの長期アクセスキーが、過去90日間にどのリソースに対してどのAPIを呼び出したかを横断的に調査し、攻撃者の活動範囲（ブラスト半径）を特定する必要があります。組織はAWS Organizationsを利用し、CloudTrailの組織証跡をS3に保存しています。複雑なクエリを最小の準備で実行し、関連する異常を可視化したいと考えています。最も適切な方法はどれですか。
AS3に保存されたCloudTrailログに対してAmazon Athenaのテーブルを定義し、アクセスキーIDを条件にSQLでイベントを集計・分析する
AthenaはCloudTrailログのテーブル定義やパーティション設定の準備とSQL手動記述が必要で、エンティティ単位の活動範囲や異常の自動可視化を提供せず「最小の準備」要件に反する。
BAmazon Detectiveを有効化し、対象のアクセスキーやIAMエンティティのプロファイルから関連アクティビティと異常を可視化して調査する
✓ 正解
Detectiveはログを自動取込しグラフ化、アクセスキーやIAMエンティティを起点に関連アクティビティと異常を最小準備で可視化でき、ブラスト半径特定という要件に最も合致する。
CCloudTrail Lakeのイベントデータストアを作成し、アクセスキーIDでフィルタしたSQLクエリでAPIアクティビティを横断的に分析する
CloudTrail Lakeはイベントデータストア作成とSQLクエリ記述が必要で横断分析は可能だが、エンティティ間の関係性や異常のグラフ可視化機能を持たず調査効率で劣る。
DAmazon GuardDutyの検出結果をSecurityHubに集約し、アクセスキーに関連するFindingをフィルタして調査範囲を特定する
GuardDutyとSecurity Hubは脅威検出・Finding集約が目的で、特定アクセスキーの活動を時系列で横断的に深掘りする調査機能を備えないため範囲特定に不十分。
解説
Amazon Detectiveは、CloudTrail・VPCフローログ・GuardDuty検出結果を自動的に取り込み、機械学習とグラフモデルでエンティティ間の関係を構築します。IAMユーザやアクセスキーなどのエンティティを起点に、過去の活動・通常からの逸脱（異常）・関連リソースを最小の準備で可視化でき、ブラスト半径の特定に最適です。
選択肢AのAthenaは、テーブル定義やパーティション設定などの準備が必要で、SQLを手動で組み立てる必要があり、異常の自動可視化も提供しません。
選択肢CのCloudTrail Lakeも、イベントデータストアの作成とSQLクエリの記述が必要で、関係性や異常のグラフ可視化機能は持ちません。
選択肢DのGuardDuty/Security Hubは脅威検出と集約が目的で、特定エンティティの活動範囲を時系列で横断的に深掘りする調査機能は提供しません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →