SOAセキュリティとコンプライアンス
ある企業では、開発者が EC2 インスタンスのセキュリティグループを手動変更するため、インターネット（0.0.0.0/0）からポート22（SSH）の受信を許可するルールが誤って追加されるインシデントが月に複数回発生しています。セキュリティチームは、このような設定ミスをリアルタイムに検出し自動修正する仕組みを、最小の運用負荷で実現したいと考えています。最も適切なアプローチはどれですか？
AAmazon EventBridge で EC2 セキュリティグループ変更イベントを検知し、AWS Lambda でルール削除処理を実装する
EventBridge + Lambda の組み合わせは設定ミスの検出と修復を実現できるが、Lambda コードの開発・テスト・バージョン管理が必要で、Config の自動修復アクションと比べて運用負荷が高くなる。
BAWS Config マネージドルール「restricted-ssh」を有効化し、非準拠検出時に Systems Manager Automation の自動修復アクションを設定する
✓ 正解
AWS Config マネージドルール「restricted-ssh」は 0.0.0.0/0 からのポート22受信ルールを継続的に評価し、非準拠検出と同時に SSM Automation ドキュメントを実行する自動修復をコード不要で構成できるため、最小の運用負荷で要件を満たす。
CAmazon GuardDuty を有効化してポート22への不審な通信を監視し、検出時に Security Hub 経由でアラートを発報する
Amazon GuardDuty は VPC Flow Logs・DNS ログ・CloudTrail イベントを分析して脅威を検出するサービスで、セキュリティグループのルール設定ミスを検出・修復する機能は持っていない。
DAWS Security Hub の Foundational Security Best Practices 標準を有効化し、SSH 開放の検出結果をメールで通知する
AWS Security Hub は複数の検出結果を集約してダッシュボードで可視化するサービスだが、デフォルトでは自動修復機能を持たず、通知後に人手による対応が必要となる。
解説
AWS Config マネージドルール「restricted-ssh」は、セキュリティグループに 0.0.0.0/0 または ::/0 からのポート22受信を許可するルールが存在する場合に非準拠と評価します。このルールに自動修復アクション（Auto Remediation）を設定することで、非準拠検出と同時に Systems Manager Automation ドキュメントが自動実行され、問題のあるルールを削除できます。コードのデプロイが不要で設定ベースで完結するため、Lambda を別途開発・維持する場合より運用負荷が大幅に低くなります。
選択肢AのAmazon EventBridge + AWS Lambda は技術的に実現可能ですが、Lambda コードの開発・テスト・バージョン管理が必要となり、Config の自動修復アクションよりも運用コストが高くなる。
選択肢CのAmazon GuardDutyはネットワークトラフィックのパターンや API コールから脅威を検出するサービスで、セキュリティグループの設定ミスを自動修復する機能はない。
選択肢DのAWS Security Hubは各サービスの検出結果を集約・可視化するサービスで、通知は可能だが自動修復機能は持たないため手動対応が必要になる。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →