金融機関のセキュリティチームは、AWS CloudTrail のログを規制当局の要件に従い 7 年間、改ざん不可能な状態で保存することを義務付けられています。
ログファイルは AWS アカウントの root ユーザーや管

Question

金融機関のセキュリティチームは、AWS CloudTrail のログを規制当局の要件に従い 7 年間、改ざん不可能な状態で保存することを義務付けられています。
ログファイルは AWS アカウントの root ユーザーや管理者であっても削除・上書きができない構成にしなければなりません。
またログが配信後に改ざんされていないことを事後的に証明できる仕組みも必要です。
最も適切な構成はどれですか。

Accepted Answer

正解: S3 バケットに S3 Object Lock をコンプライアンスモードで有効化（保持期間 7 年）し、CloudTrail のログファイル整合性検証を有効化する。S3 Object Lock のコンプライアンスモードは、設定した保持期間中はオブジェクトのバージョン削除・上書きを根本的に禁止します。このモードでは AWS アカウントの root ユーザーや管理者であっても保持期間中はオブジェクトを削除できず、保持期間の短縮・無効化も不可能です。これは WORM（Write Once Read Many）要件を持つ規制対応に最適な選択肢です。

さらに CloudTrail の「ログファイル整合性検証」を有効化すると、毎時ダイジェストファイルが生成され各ログファイルの SHA-256 ハッシュ値が記録されます。これにより CloudTrail ログが配信後に改ざんされていないことを第三者に証明できます。

選択肢Aのバケットポリシーは root アカウントや Organizations 管理アカウントがバケットポリシー自体を変更・削除できるため、管理者による削除を完全には防止できない。
選択肢Cの CloudWatch Logs はロググループの保持期間設定や KMS 暗号化が可能ですが、Object Lock 相当の WORM 保護機能がなく、権限のあるユーザーがロググループを削除可能。
選択肢Dの AWS Backup は別 Vault へのデータコピーを提供しますが、元の S3 バケットのログは依然として削除可能であり WORM 要件を満たせない。

Answer

S3 バケットに CloudTrail ログを配信し、バケットポリシーで s3:DeleteObject と s3:PutObject を全プリンシパルに対して Deny する — バケットポリシーは強力なアクセス制御手段だが、バケット所有者（root ユーザー）はバケットポリシー自体を変更・削除できる。管理者を含む全員によるオブジェクト削除を絶対的に防ぐ Object Lock コンプライアンスモードとは異なり、真の WORM 保護にはならない。

Answer

CloudTrail ログを CloudWatch Logs に転送し、ロググループの保持期間を 2557 日（約 7 年）に設定して KMS カスタマーマネージドキーで暗号化する — CloudWatch Logs は保持期間設定で自動削除を制御できるが WORM 保護機能がなく、十分な権限を持つユーザーはロググループを削除可能。7 年分の大量ログを CloudWatch Logs に保持するとコストが大幅に増大し、実運用上も現実的でない。

Answer

S3 バケットに CloudTrail ログを配信し、AWS Backup で毎日バックアップを取得して別リージョンの Backup Vault に 7 年間保持する — AWS Backup は別リージョンへのコピーで災害対策に有効だが、元 S3 バケット上のオリジナルログは削除可能なまま。WORM（改ざん不可能な保存）の要件を満たすには Object Lock が必要であり、バックアップコピーだけでは不十分。

解説

解説