SCSインフラストラクチャのセキュリティ
あるグローバル企業は、単一のVPC内で複数の本番サービスを運用しています。インターネットゲートウェイとプライベートサブネット間のすべてのトラフィックに対して、ステートフルなレイヤー7インスペクション（HTTP/HTTPS通信の詳細な検査）と、承認済み外部ドメインへの送信のみを許可するFQDN（完全修飾ドメイン名）フィルタリングを実施する必要があります。コストと運用効率を考慮した場合、最も適切なアーキテクチャはどれですか？
AVPC内のすべてのサブネットのセキュリティグループにアウトバウンドルールを追加し、許可するIPアドレスレンジを指定する
セキュリティグループはIPアドレスベースのステートフル制御は可能ですが、FQDNフィルタリングやレイヤー7の詳細なインスペクションには対応していません。
B専用のファイアウォールサブネットにAWS Network Firewallを配置し、VPCのルートテーブルを変更してすべてのトラフィックをNetwork Firewall経由にルーティングする
✓ 正解
AWS Network Firewallは、VPCトラフィックに対してステートフルなレイヤー7インスペクション、FQDNフィルタリング（送信先ドメイン名による通信制御）、Suricataルールベースの侵入検知を提供するマネージドサービスです。
CApplication Load BalancerにAWS WAFを関連付け、HTTPSトラフィックをマネージドルールでフィルタリングする
AWS WAFはALBやCloudFrontなどに関連付けてHTTPSリクエストを検査できますが、VPC内のあらゆる送信トラフィック全般やFQDNベースの送信フィルタリングには対応していません。
DAWS Shield AdvancedをVPCに対して有効化し、DDoS保護とともにレイヤー7インスペクションを実施する
AWS Shield AdvancedはDDoS攻撃からの保護に特化したサービスであり、FQDNフィルタリングやステートフルなレイヤー7インスペクション機能は持ちません。
解説
AWS Network Firewallは、VPCトラフィックに対してステートフルなレイヤー7インスペクション、FQDNフィルタリング（送信先ドメイン名による通信制御）、Suricataルールベースの侵入検知を提供するマネージドサービスです。
選択肢AのセキュリティグループはIPアドレスベースのステートフル制御は可能ですが、FQDNフィルタリングやレイヤー7の詳細なインスペクションには対応していません。
選択肢CのAWS WAFはALBやCloudFrontなどに関連付けてHTTPSリクエストを検査できますが、VPC内のあらゆる送信トラフィック全般やFQDNベースの送信フィルタリングには対応していません。
選択肢DのAWS Shield AdvancedはDDoS攻撃からの保護に特化したサービスであり、FQDNフィルタリングやステートフルなレイヤー7インスペクション機能は持ちません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →