SOAモニタリング、ロギング、分析、修復、およびパフォーマンスの最適化
ある企業のセキュリティポリシーでは、すべてのAmazon S3バケットにサーバーサイド暗号化（SSE-S3またはSSE-KMS）を必須としています。開発チームが暗号化未設定のバケットを作成することがあり、セキュリティ監査のたびに手動で修正対応が発生しています。既存バケット・新規バケットを問わず非準拠を継続的に検出し、暗号化の有効化を自動的に適用する仕組みを最小の構成で実現するには、どの方法が最も適切ですか。
AAmazon EventBridgeルールでS3バケット作成イベントを検知し、AWS Lambda関数でバケットの暗号化設定状況を確認して未設定の場合にSSE-S3暗号化を自動的に適用するカスタムコードを実装する
EventBridge+LambdaはS3バケット作成イベント発生時のみ動作するため、設定前から存在する既存の非準拠バケットを検出・自動修復できません。またカスタムLambdaコードの実装・テスト・IAMロール設定など管理コストが増大します。
BAWS Configマネージドルール「s3-bucket-server-side-encryption-enabled」を有効化し、修復アクションにSSM Automationドキュメントを設定して非準拠バケットへの暗号化適用を自動化する
✓ 正解
AWS Configのマネージドルールは既存・新規バケットを問わず継続的にコンプライアンスを評価し、SSM Automation修復アクションにより非準拠バケットへの暗号化設定を自動適用します。マネージドサービスの組み合わせでカスタムコード不要・コンプライアンス状況の一元管理が可能です。
CAWS Security Hubの「AWS基礎セキュリティベストプラクティス（FSBP）」標準を有効化してS3暗号化の調査結果（Finding）を継続的に検出し、Findingの重要度に応じて担当者が手動で修正対応する
AWS Security Hubは複数のAWSセキュリティサービスの調査結果を一元集約して可視化しますが、検出した非準拠リソースへの自動修復アクションは実行しません。担当者による手動修正フローが残るため、自動化の要件を満たしていません。
DAmazon CloudTrailでCreateBucketおよびPutBucketEncryptionのAPIコールをモニタリングし、CloudWatchメトリクスフィルターとSNSアラームで暗号化未設定バケットの作成を担当者に通知する
CloudTrail+CloudWatchメトリクスフィルターは特定のAPIコールを検出して通知する仕組みですが、S3バケットへの暗号化設定を自動適用する機能はありません。検出後の修正には手動操作が必要であり、自動修復の要件を満たしていません。
解説
AWS Configのマネージドルール「s3-bucket-server-side-encryption-enabled」は、全S3バケットの暗号化設定を継続的に評価し、非準拠バケットを検出します。修復アクション（Remediation Action）にSystems Manager Automationドキュメントを設定することで、非準拠バケットへの暗号化設定を自動適用できます。既存バケットを含む継続的な評価と自動修復をカスタムコード不要のマネージドサービスの組み合わせで実現でき、コンプライアンスダッシュボードで準拠状況の一元管理も可能です。
選択肢AのEventBridge+Lambdaは、バケット「作成」イベント駆動であるため、ルール有効化前から存在する既存の非準拠バケットを検出・修復できません。またカスタムLambdaコードの実装・テスト・管理コストも発生します。
選択肢CのAWS Security Hubは複数サービスのセキュリティ調査結果を一元可視化しますが、自動修復機能を内蔵しておらず担当者による手動対応が必要なため要件を満たしていません。
選択肢DのCloudTrail+CloudWatchアラームは暗号化未設定バケットの作成検出と通知のみを行い、暗号化を自動適用する機能はなく、修正には依然として手動操作が必要です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →