SOAセキュリティとコンプライアンス
金融機関が ALB（Application Load Balancer）と Amazon CloudFront を使用した公開 Web アプリケーションを運用しています。過去に大規模な DDoS（分散型サービス拒否）攻撃を受け、Auto Scaling によりインスタンスが急増して多額のコストが発生しました。セキュリティチームは今後の攻撃に対して「攻撃中の自動緩和」と「攻撃によるスケーリングコストの財務的保護」の両方を実現したいと考えています。最も適切な対策はどれですか？
AAWS Shield Standard（デフォルトで有効）と CloudFront のキャッシュヒット率を最大化することで、オリジンへのリクエスト数を減らして実質的な DDoS 耐性を高める。
Shield Standard（無料・デフォルト有効）は基本的な L3/L4 保護を提供しますが、高度な自動緩和機能・DDoS コスト保護・SRT サポートは含まれないため、攻撃起因のスケーリングコストを財務的に保護するという要件を満たしません。
BAWS WAF（Web Application Firewall）のレートベースルールを CloudFront と ALB に適用し、IP アドレスごとのリクエスト数を制限する。
CloudFront と ALB へのレートベースルール適用は有効なレイヤー 7 対策ですが、攻撃によって発生した Auto Scaling コストの払い戻しや財務的保護機能は AWS Shield Advanced のみが提供するものであり、この選択肢だけでは要件を満たせません。
CAWS Shield Advanced に加入し、CloudFront・ALB・Route 53 を保護対象リソースとして登録する。
✓ 正解
Shield Advanced は L3/L4/L7 レベルの DDoS 攻撃への高度な自動緩和を提供し、攻撃起因のスケーリングコストをクレジット申請できる DDoS コスト保護と、SRT（Shield Response Team）による 24 時間専門サポートも含まれます。
DAmazon GuardDuty の脅威インテリジェンスフィードを活用し、既知の DDoS 攻撃元 IP を自動的に WAF の IP セットに追加するよう Lambda を設定する。
GuardDuty と Lambda を組み合わせた既知攻撃元 IP のブロックは補完的対策として有効ですが、大規模 DDoS の瞬時の自動緩和と攻撃起因スケーリングコストの財務的保護という両要件を単独で満たすことはできません。
解説
AWS Shield Advanced は L3/L4/L7 レベルの DDoS 攻撃に対する高度な緩和機能を提供します。特筆すべきは「DDoS コスト保護」機能で、攻撃によって引き起こされた Auto Scaling・CloudFront・Route 53 の過剰コストをクレジットとして申請できます。Shield Response Team（SRT）による 24 時間サポートも含まれます。
選択肢AのAWS Shield Standard（デフォルトで有効）と CloudFront のキャッシュヒット率を最大化する方法はShield Standard（無料・デフォルト有効）は基本的な L3/L4 保護を提供しますが、高度な緩和機能・コスト保護・SRT サポートは含まれないため要件を満たしません。
選択肢BのAWS WAF（Web Application Firewall）のレートベースルールを CloudFront と ALB に適用する方法は有効なレイヤー 7 対策ですが、財務的保護は Shield Advanced のみの機能です。
選択肢DのAmazon GuardDuty の脅威インテリジェンスフィードを活用し、既知の DDoS 攻撃元 IP を自動的に WAF の IP セットに追加する方法は補完的な対策ですが、大規模 DDoS の自動緩和とスケーリングコスト保護の両方を実現する機能は持ちません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →