SCSインシデント対応
セキュリティチームは、Amazon ECS（awsvpcネットワークモード使用）で稼働中のタスクが、既知のC2（コマンド＆コントロール）サーバーと通信していることをGuardDutyで検出しました。
当該タスクはビジネスクリティカルなアプリケーションの一部であり、同じECSクラスター上で稼働している他のタスクは正常に動作しています。
メモリやプロセス情報などのフォレンジックデータを保持するためタスクを実行状態のまま維持しつつ、悪意あるアウトバウンド通信を即座に遮断する方法として最も適切なものはどれか？
AECSサービスのdesiredCountを0に設定して、該当タスクのコンテナを停止する
desiredCountを0に設定するとタスクが終了し、フォレンジック分析に必要なメモリやプロセス情報が完全に失われる。
B侵害されたタスクのENI（Elastic Network Interface）に関連付けられたセキュリティグループを、すべてのアウトバウンドトラフィックを拒否するルールに変更する
✓ 正解
awsvpcネットワークモードでは各ECSタスクに専用のENIが割り当てられるため、そのENIのセキュリティグループのみを変更することで、他のタスクに一切影響を与えずに侵害タスクのアウトバウンド通信を遮断しながらタスクを実行状態に保てる。フォレンジック調査に必要なメモリ・プロセス情報も失われない。
Cタスクが稼働しているEC2コンテナインスタンスをECSクラスターから登録解除（Deregister）する
EC2コンテナインスタンス全体を登録解除するため、同インスタンス上で稼働する正常な他タスクにも影響が及び、業務継続性を損なう。
DECSタスク定義の新リビジョンを作成し、コンテナイメージを安全なバージョンに更新してサービスを再デプロイする
タスク定義の新リビジョン作成は既存の実行中タスクには即座に反映されず、封じ込め効果がない。
解説
awsvpcネットワークモードでは各ECSタスクに専用のENIが割り当てられるため、そのENIのセキュリティグループのみを変更することで、他のタスクに一切影響を与えずに侵害タスクのアウトバウンド通信を遮断しながらタスクを実行状態に保てる。フォレンジック調査に必要なメモリ・プロセス情報も失われない。
選択肢AはdesiredCountを0に設定するとタスクが終了し、フォレンジック分析に必要なメモリやプロセス情報が完全に失われる。
選択肢CはEC2コンテナインスタンス全体を登録解除するため、同インスタンス上で稼働する正常な他タスクにも影響が及び、業務継続性を損なう。
選択肢Dはタスク定義の新リビジョン作成は既存の実行中タスクには即座に反映されず、封じ込め効果がない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →