無限ノック › SCS 練習問題一覧 › 問題SCS インフラストラクチャのセキュリティ
ある企業のセキュリティチームは、EC2 インスタンス上で稼働する Web アプリケーションに SSRF（サーバーサイドリクエストフォージェリ）脆弱性があり、攻撃者がインスタンスメタデータサービス（169.254.169.254）経由でアタッチされた IAM ロールの一時認証情報を窃取したことを検出した。アプリケーション自体は引き続きメタデータからリージョン情報などを取得する必要がある。今後同様の認証情報窃取を防ぐうえで最も効果的な対策はどれか。
A インスタンスメタデータオプションで IMDSv2 を必須（HttpTokens=required）に設定し、メタデータ応答のホップ制限（HttpPutResponseHopLimit）を 1 に設定する
✓ 正解
IMDSv2 必須化はトークン取得用 PUT を要求し、多くの SSRF ではトークンを送れないため認証情報窃取を防ぐ。ホップ制限 1 でメタデータ応答の外部転送も防ぎつつ、アプリのメタデータ取得は維持できる。
B インスタンスメタデータの HTTP エンドポイントを無効化（HttpEndpoint=disabled）し、メタデータサービスへのアクセスを完全に遮断する
HTTP エンドポイント無効化はメタデータサービス全体を遮断するため、アプリケーションがリージョン情報などをメタデータから取得できなくなり、アプリの動作要件に反するため不適切である。
C ネットワーク ACL のアウトバウンドルールで宛先 169.254.169.254 へのトラフィックを拒否し、メタデータへのアクセスをブロックする
169.254.169.254 はリンクローカルアドレスで VPC のルーティング対象外であり、ネットワーク ACL の評価対象とならない。よって NACL ルールではメタデータへのアクセスを制御できない。
D セキュリティグループのアウトバウンドルールで 169.254.169.254/32 への HTTP を拒否し、IMDSv1 のまま運用を継続する
セキュリティグループもリンクローカル宛のメタデータトラフィックを制御できず、加えて IMDSv1 を継続する限りトークン不要でメタデータを取得できるため、SSRF による認証情報窃取の脆弱性が残る。
解説 IMDSv2 はセッション指向で、PUT リクエストによるトークン取得を必須とする。多くの SSRF はリクエストヘッダーを任意に付与できないため、トークンを要求する IMDSv2 必須化により認証情報の窃取を防げる。さらにホップ制限を 1 にするとレスポンスがインスタンス外（コンテナ層など）へ転送されず、防御が強化される。アプリは引き続きメタデータを取得できる。
選択肢Bはエンドポイントを完全無効化するため、アプリがリージョン情報を取得できなくなり要件に反する。
選択肢Cの 169.254.169.254 はリンクローカルアドレスでルーティングされないため、NACL では制御できない。
選択肢Dも同様にセキュリティグループはリンクローカル宛トラフィックを制御できず、IMDSv1 のままでは脆弱性が残る。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →