SCSインシデント対応
あるセキュリティチームは、侵害が疑われる本番AWSアカウントのEC2インスタンスに対してディスクフォレンジックを実施する必要があります。組織のポリシーにより調査はフォレンジック専用AWSアカウントで行うことが定められており、証拠の改ざん防止（チェーン・オブ・カストディ）の維持と本番環境への影響最小化の両方が要件となっています。フォレンジックデータを最も安全かつ適切に転送するための手順はどれですか？
ASystems Manager Session Managerで侵害されたEC2インスタンスに接続し、稼働中システムからddコマンドでディスクイメージを作成してS3バケット経由でフォレンジックアカウントへ転送する
稼働中のインスタンスにSession Managerで接続すると、SSMエージェントの動作やddコマンド実行時のタイムスタンプ変更・ログ追記が発生して証拠が汚染されます。また稼働中ディスクのイメージはファイルシステムの一貫性が保証されないため、フォレンジック証拠として問題があります。
B本番アカウントでEBSスナップショットをAWS Backupに取り込んでクロスアカウントバックアッププランを設定し、フォレンジックアカウントへバックアップコピーを転送してから調査用EC2インスタンスに展開する
AWS Backupはスケジュールバックアップとリストアに最適化されており、即時のフォレンジック対応には設定が複雑で時間がかかります。証拠の連鎖管理の観点でバックアップ取り込み時点の整合性保証が不明確なため、フォレンジックには適切ではありません。
C本番アカウントで侵害インスタンスのEBSスナップショットをKMS暗号化した後、modify-snapshot-attributeでフォレンジックアカウントと共有し、そのアカウントのEBSボリュームとして展開して分析する
✓ 正解
EBSスナップショットをKMS暗号化してmodify-snapshot-attributeでフォレンジックアカウントに直接共有する手法は、本番インスタンスへの操作を最小化しながら改ざんのない証拠コピーを提供します。読み取り専用マウントが可能でチェーン・オブ・カストディを維持できます。
D本番アカウントで侵害インスタンスのAMIを作成してフォレンジックアカウントへ共有し、そのAMIからフォレンジック専用VPCに新しいインスタンスを起動してネットワーク隔離した状態で分析する
AMIからインスタンスを起動するとOSの初回ブート時にスワップ領域への書き込みや一時ファイルの生成が行われ、元のディスク状態が変化します。証拠の完全性を損なうため、フォレンジック調査にはEBSスナップショットを直接マウントする手法が推奨されます。
解説
EBSスナップショットのクロスアカウント共有はAWSが推奨するフォレンジック手順です。本番アカウントでEBSスナップショットを取得してKMS CMKで暗号化した後、modify-snapshot-attributeコマンドでフォレンジックアカウントにスナップショットを共有します。フォレンジックアカウント側でそのスナップショットからEBSボリュームを作成し、調査用EC2インスタンスに読み取り専用でアタッチして分析します。本番インスタンスへの操作を最小化しつつ、改ざんされていない証拠のコピーを隔離環境で分析できます。
選択肢AのSystems Manager Session Managerは稼働中インスタンスへの接続を伴うため、SSMエージェントの動作やファイルタイムスタンプの変更により証拠が汚染されるリスクがあります。
選択肢BのAWS Backupはバックアップ・リストア用途に最適化されており、即時のフォレンジック対応としては設定が複雑で対応が遅くなります。またチェーン・オブ・カストディの観点で整合性保証が不明確です。
選択肢DのAMI共有からのインスタンス起動は、OSが起動することでスワップ領域への書き込みや一時ファイルの生成が発生し、元の証拠の状態を変更してしまいます。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →