SCSインフラストラクチャのセキュリティ
ある企業のWebアプリケーションがEC2インスタンス上で動作している。セキュリティ監査でSSRF（Server-Side Request Forgery）脆弱性が発見され、この脆弱性を悪用することでインスタンスメタデータサービス（IMDS）からIAMロールの一時的な認証情報を窃取できることが判明した。このSSRF経由のIAM認証情報窃取を根本的に防ぐために最も効果的なAWSネイティブの制御はどれか。
AIAMロールにPermission Boundaryを設定して最小権限を強制し、認証情報が漏洩した場合の影響範囲を制限する
IAMロールのPermission Boundaryは認証情報が漏洩した後の被害を最小化する多層防御として有効だが、SSRF脆弱性によって認証情報が窃取されることそのものを防ぐ手段ではなく、根本的な対策にはならない。
BEC2インスタンスをプライベートサブネットに配置してセキュリティグループで外部通信を制限し、SSRF攻撃の起点を排除する
プライベートサブネット配置はインターネットからの直接アクセスを制限するが、SSRFはアプリケーション自身がIMDSへリクエストを発信する攻撃のため、サブネットやセキュリティグループの設定だけでは防ぐことができない。
CHttpTokensを「required」に設定してIMDSv2を強制し、セッショントークンなしではメタデータにアクセスできないようにする
✓ 正解
IMDSv2はPUTリクエストによるセッショントークン取得を必須とする。典型的なSSRF脆弱性はGETリクエストしか実行できないためトークンを取得できず、メタデータへの不正アクセスを根本的に防止できる正しい制御。
DAWS WAFのカスタムルールでメタデータエンドポイントへのリクエストを検出し、アプリケーションレイヤーでSSRFを遮断する
AWS WAFはALBやCloudFrontが受信する外部HTTPリクエストを評価するサービスであり、EC2インスタンス内部からリンクローカルアドレス（169.254.169.254）へのメタデータアクセスを検出・制御する機能は持たない。
解説
IMDSv2（Instance Metadata Service v2）は、セッション指向の認証を導入することでSSRF攻撃からのメタデータ保護を実現する。HttpTokens=requiredに設定すると、メタデータへのアクセスには事前にPUTリクエストでセッショントークンを取得し、それ以降のGETリクエストのヘッダーに含める必要がある。典型的なSSRF脆弱性はGETリクエストのみ実行できるためトークン取得（PUTリクエスト）ができず、メタデータへのアクセス自体が根本的に防止される。
選択肢AのPermission Boundaryは認証情報漏洩後の被害範囲を制限する多層防御として有効だが、認証情報の窃取そのものを防ぐことはできない。
選択肢Bのプライベートサブネット配置は外部からの直接攻撃を防ぐが、SSRFはインスタンス自身が発信する内部リクエストであるため、ネットワーク配置では防ぎきれない。
選択肢DのAWS WAFはALBやCloudFrontで受信するリクエストを評価するサービスであり、EC2インスタンスが169.254.169.254へ送信する内部リクエストを制御する機能を持たない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →