SCS検出
あるフィンテック企業は、AWS Lambdaで構築したサーバーレスバックエンドで機密性の高い金融データを処理しています。CI/CDパイプラインを通じて週に複数回Lambdaのデプロイが行われており、セキュリティチームは以下の要件を満たすソリューションを求めています。
- PythonパッケージやLambdaレイヤーに含まれるサードパーティ依存ライブラリのCVE（既知脆弱性）を、デプロイのたびに自動検出する
- 検出結果をAmazon Security Hubに集約し、他のセキュリティ情報と統合管理する
このユースケースに最も適した解決策はどれか。
AAmazon Inspectorを有効化してLambda関数スキャニングを設定し、関数パッケージおよびLambdaレイヤーの依存ライブラリに対するCVEスキャンを自動化し、結果をSecurity Hubに集約する。
✓ 正解
Amazon InspectorのLambdaスキャニングは、Lambda関数パッケージおよびLambdaレイヤーの依存ライブラリに対してCVEデータベースを参照したソフトウェアコンポジション解析を自動実行します。新バージョンのデプロイをトリガーに継続的にスキャンが実行され、検出結果はSecurity Hubにネイティブに集約されます。
BAmazon GuardDutyのLambda Protectionを有効化し、Lambda実行環境でのネットワーク通信・プロセス実行等の異常な実行時動作を検出してGuardDuty調査結果をSecurity Hubに送信する。
Amazon GuardDutyのLambda Protectionは、Lambda実行環境での不審なネットワーク接続・プロセス起動などの実行時（ランタイム）脅威を検出するサービスです。Pythonパッケージ等の依存ライブラリに含まれるCVEを特定するソフトウェア脆弱性スキャン（SCA）は対象外であり、本要件を満たしません。
CAWS Security Hubにサードパーティ統合（Snyk・Tenable等）を設定し、CodePipelineの各デプロイステージでLambdaパッケージをスキャンして脆弱性をSecurity Hub調査結果として取り込む。
Snyk等のサードパーティ統合はSecurity Hubへの調査結果送信は可能ですが、追加のライセンスコストが発生し、外部サービスとの統合設定が複雑になります。AWS Inspectorに比べてLambda関数のデプロイとの自動連携が複雑であり、AWS内でシームレスに完結する構成と比較して運用コストが高くなります。
DAWS CodePipelineにAWS CodeBuildステージを追加し、デプロイ前にSafetyやBanditなどのOSSツールでPython依存パッケージのCVEをスキャンしてS3にレポートを保存し、Critical以上でデプロイをブロックする。
AWS CodeBuild＋OSSスキャンツールは、デプロイ前の静的なCVEスキャンには有効ですが、スキャン結果をSecurity Hubにネイティブに集約する仕組みがありません。また、既にデプロイ済みの関数への継続的な再スキャンには追加のパイプライン設計が必要であり、要件を完全には満たしません。
解説
Amazon InspectorのLambdaスキャニングは、Lambda関数パッケージおよびLambdaレイヤーに含まれるPythonなどの依存ライブラリに対して、CVEデータベースを参照したソフトウェアコンポジション解析（SCA）を自動実行します。新しい関数バージョンのデプロイがトリガーとなって継続的にスキャンが実行され、検出結果はAmazon Security Hubにネイティブに集約されるため、追加のパイプライン変更なしにCVE管理とセキュリティ情報の統合管理が実現できます。
選択肢BのAmazon GuardDuty Lambda Protectionは、Lambda実行環境での不審なネットワーク接続・プロセス起動などの実行時（ランタイム）脅威を検出するサービスです。依存ライブラリのCVEを特定するソフトウェア脆弱性スキャン（SCA）は対象外であり、本要件を満たしません。
選択肢CのSnyk等のサードパーティ統合は、Security Hubへの調査結果送信は可能ですが、追加のライセンスコストが発生し、外部サービスとの統合設定が複雑になります。AWS Inspectorに比べてLambda関数のデプロイとの自動連携が複雑であり、AWS内でシームレスに完結する構成と比較して運用コストが高くなります。
選択肢DのCodeBuild＋OSSスキャンツールは、デプロイ前の静的なCVEスキャンには有効ですが、スキャン結果をSecurity Hubにネイティブに集約する仕組みがなく、既にデプロイ済みの関数への継続的な再スキャンも別途設計が必要です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →