SCS検出
あるセキュリティアナリストは、Amazon GuardDutyから「特定のIAMロールが通常とは異なる地域のIPアドレスから呼び出されている」という検出結果を受け取りました。このIAMロールが侵害された可能性を調査するため、過去30日間にアクセスされたAWSリソース、関連するIPアドレス、呼び出し元のIAMエンティティを迅速に特定し、それらの相関関係を把握する必要があります。カスタムクエリの記述を最小限に抑えながらこの調査を実施できるAWSの機能として最も適切なものはどれですか？
AAWS CloudTrailの管理イベントとデータイベントをAmazon S3に保存し、Amazon Athenaでカスタムクエリを作成してIPアドレスとIAMエンティティの関係を抽出する。結果をAmazon QuickSightで可視化して調査を進める
CloudTrailとAthenaの組み合わせは柔軟な調査が可能ですが、IPアドレスとIAMエンティティの相関クエリを手動で作成する必要があり、カスタムクエリを最小限に抑えるという要件に合致しません。
BAmazon GuardDutyの検出結果に含まれるIPアドレスをVPC Flow LogsおよびCloudWatch Logs Insightsで追跡し、AWS WAFのIPセットに登録して同一IPからのアクセスを遮断しながら関連リソースを調査する
VPC Flow LogsとCloudWatch Logs InsightsはネットワークトラフィックのIP追跡に有効ですが、IAMプリンシパルとAWSリソース間の横断的な関係可視化には限界があり、WAFでのIP遮断は調査ではなく対策に相当します。
CAmazon Detectiveを有効化し、GuardDutyの検出結果コンソールから直接Detectiveコンソールに移動する。グラフモデルでIAMプリンシパル・IPアドレス・AWSリソース間の関係と行動の時系列を視覚的に調査する
✓ 正解
Amazon Detectiveはビヘイビアグラフにより、GuardDutyの検出結果から直接IAMプリンシパル・IPアドレス・AWSリソース間の関係と過去90日間の時系列行動をカスタムクエリ不要で視覚的に調査できます。
DAWS Security Hubに検出結果を集約し、影響を受けるIAMロールをフィルタしたカスタムインサイトを作成する。EventBridgeとLambdaでCloudTrailイベントを相関分析し、調査レポートをセキュリティチームのSlackチャンネルへ送信する
AWS Security Hubのカスタムインサイトは検出結果の集約・優先順位付けに有効ですが、エンティティ間の関係調査やEventBridgeとLambdaを用いた相関分析の実装には大きな開発工数がかかります。
解説
Amazon Detectiveは、GuardDuty・CloudTrail・VPC Flow LogsなどのAWSサービスのログを自動的に取り込み、グラフデータモデル（ビヘイビアグラフ）を構築するセキュリティ調査サービスです。GuardDutyの検出結果コンソールには「Detectiveで調査」ボタンが表示されており、ワンクリックでDetectiveコンソールの該当エンティティページに遷移できます。アナリストはカスタムクエリを記述することなく、IAMロール・IPアドレス・AWSリソース間の関係を視覚的に確認し、過去90日間の行動ベースラインと比較しながら異常を特定できます。
選択肢AのAWS CloudTrailとAmazon Athenaの組み合わせは高い柔軟性を持ちますが、相関分析のためのカスタムクエリ作成に多くの工数がかかり、「カスタムクエリを最小限に抑える」という要件に反します。
選択肢BのVPC Flow LogsとCloudWatch Logs Insightsによる追跡はネットワークレベルの調査には有効ですが、IAMエンティティとAWSリソース間の包括的な相関関係を視覚化する機能はなく、調査範囲が限定されます。
選択肢DのAWS Security Hubのカスタムインサイトは検出結果の優先順位付けには適していますが、EventBridgeとLambdaによるCloudTrail相関分析の実装は大きな開発工数を必要とします。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →