SCSインフラストラクチャのセキュリティ
ある製造企業は、プライベートサブネット内のすべての本番EC2インスタンスからのアウトバウンドHTTPS通信を一元的に制御したいと考えています。
セキュリティチームの要件は以下のとおりです：
・SSLを復号せずにHTTPSトラフィックの宛先ドメイン（FQDN）をSNI（Server Name Indication：TLSハンドシェイク時に宛先ドメインを通知する拡張機能）で識別してフィルタリングする
・既知のマルウェアC2（Command and Control：攻撃者がマルウェアを遠隔操作するための通信）ドメインへの通信をブロックする
・AWSが提供するマネージドの脅威インテリジェンスフィードを活用する
・許可されたSaaSドメインのみへの接続を許可するデフォルト拒否ポリシーを実装する
これらの要件を最も効果的に満たすソリューションはどれですか？
AAmazon Route 53 Resolver DNSファイアウォールで、AWSマネージドドメインリストと許可リストを設定し、DNSクエリレベルでフィルタリングする
（Route 53 Resolver DNSファイアウォール）はDNS解決レベルでブロックするためDNS over HTTPSや直接IP接続には対応できず、実際のトラフィックパスのSNI検査は行いません。
BAWS Network FirewallのStatefulルールグループに「ドメインリスト」タイプのルールを設定し（TLSヘッダー検査を有効化してSNI識別）、AWSマネージド脅威インテリジェンスルールグループと組み合わせる
✓ 正解
AWS Network FirewallはStatefulルールの「ドメインリスト」タイプでTLSハンドシェイクのSNIを参照し、SSLを復号せずにHTTPS通信の宛先ドメインを識別・フィルタリングできます。AWSマネージド脅威インテリジェンスルールグループ（C2ドメインリストなど）を追加でき、デフォルト拒否も構成可能です。
CAWS WAFにAnonymous IP listマネージドルールとカスタム文字列一致ルールを設定し、Application Load BalancerにアタッチしてHTTPS通信を制御する
（AWS WAF）はインバウンドHTTP/HTTPSの検査が主目的であるためEC2からのアウトバウンドトラフィックの制御には使用できません。
DAmazon GuardDutyのDNS脅威インテリジェンス機能を有効化し、悪意のあるドメインへのアクセスを検知した際にAmazon EventBridgeでAWS Lambdaを起動してセキュリティグループを更新する
（Amazon GuardDuty）は検知（Detective Control）ツールのため予防的なリアルタイムブロックはできません。セキュリティグループ更新は反応的（リアクティブ）で初回通信はブロックされません。
解説
AWS Network FirewallはStatefulルールの「ドメインリスト」タイプでTLSハンドシェイクのSNIを参照し、SSLを復号せずにHTTPS通信の宛先ドメインを識別・フィルタリングできます。AWSマネージド脅威インテリジェンスルールグループ（C2ドメインリストなど）を追加でき、デフォルト拒否も構成可能です。
選択肢A（Route 53 Resolver DNSファイアウォール）はDNS解決レベルでブロックするためDNS over HTTPSや直接IP接続には対応できず、実際のトラフィックパスのSNI検査は行いません。
選択肢C（AWS WAF）はインバウンドHTTP/HTTPSの検査が主目的であるためEC2からのアウトバウンドトラフィックの制御には使用できません。
選択肢D（Amazon GuardDuty）は検知（Detective Control）ツールのため予防的なリアルタイムブロックはできません。セキュリティグループ更新は反応的（リアクティブ）で初回通信はブロックされません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →