SOAモニタリング、ロギング、分析、修復、およびパフォーマンスの最適化
ある企業のセキュリティ監査チームは、AWS環境全体で発生したIAMポリシー変更イベント（PutUserPolicy・AttachRolePolicyなど）を、コンソールログインイベントと時刻で相関付けてSQLで柔軟に分析したいと考えています。複数のAWSアカウントにわたるイベントを一元収集でき、Glueクローラーなどの追加データカタログ設定なしで最小のセットアップで要件を満たす方法は？
ACloudTrail LakeでOrganizations統合のイベントデータストアを作成し、IAMポリシー変更イベントとコンソールログインイベントをSQLの時刻条件でクエリする。追加カタログ定義不要でAthena互換SQLが直接使用できる
✓ 正解
CloudTrail Lakeはイベントデータストアを作成するだけで自動収集・SQL分析が可能で、Glueカタログ等の追加設定は不要です。Organizations統合で複数アカウントを一元化でき、IAMイベントとログインイベントのSQL相関分析を最小構成で実現します。
B既存のS3 CloudTrailログに対してAWS GlueクローラーでAthenaテーブルを定義し、Amazon AthenaのSQLでIAMポリシー変更とコンソールログインイベントを横断的にクエリして相関分析する
Athena＋Glueも同等の分析は可能ですが、Glueクローラーの設定・テーブル定義・パーティション管理など追加の設定作業が必要です。「追加データカタログ設定なし・最小セットアップ」の要件を満たしません。
CCloudTrailログをKinesis Data FirehoseでAmazon OpenSearch Serviceにリアルタイムストリームし、OpenSearch DashboardsでIAMイベントと認証イベントをKQLで検索・可視化して相関分析する
Kinesis Data Firehose＋OpenSearch Serviceはリアルタイム検索・可視化に有効ですが、複数コンポーネントの設定が必要で最小構成とは言えません。SQLによる柔軟なアドホッククエリよりも可視化・検索に特化したサービスです。
DAmazon Detectiveを有効化してCloudTrailと統合し、IAMエンティティの行動グラフを活用してポリシー変更とコンソールログインイベントの時系列相関を視覚的に調査する
Amazon Detectiveはグラフ分析による脅威調査に特化したサービスです。SQLによるアドホッククエリや任意のイベント相関を自由に記述する分析には対応しておらず、要件を満たしません。
解説
CloudTrail Lakeは、CloudTrailのAPIアクティビティをSQL形式で直接クエリできるマネージドなデータレイク機能です。イベントデータストアを作成するだけで自動的にイベントが取り込まれ、Glueクローラーやデータカタログの追加設定は不要です。AWS Organizationsと統合すれば複数アカウントのイベントを一元収集でき、IAMポリシー変更とコンソールログインをSQLのJOINや時刻フィルターで相関分析できます。最大7年間のイベントを保持可能で、セキュリティ監査のアドホッククエリに最適です。
選択肢BのAthena＋Glueは同等の分析を実現できますが、Glueクローラーのセットアップ・テーブル定義・パーティション管理など追加作業が必要で、最小セットアップの要件を満たしません。
選択肢CのOpenSearch Serviceはリアルタイム検索・可視化に優れていますが、Kinesis Data Firehose・OpenSearchドメイン・インデックス定義など多くのコンポーネント設定が必要で構成が複雑です。
選択肢DのAmazon Detectiveはセキュリティ調査自動化サービスで、グラフ分析による脅威調査に特化しています。SQLによる柔軟なアドホッククエリには対応しておらず、要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →