SOAセキュリティとコンプライアンス
あるセキュリティチームは、AWS Organizations で管理する複数アカウントのすべての EC2 インスタンスと Lambda 関数について、ソフトウェアの脆弱性（CVE：Common Vulnerabilities and Exposures）を継続的に把握したいと考えています。
以下の要件を満たす必要があります。
・新たにプロビジョニングされたリソースは自動的にスキャン対象に追加される
・NVD（National Vulnerability Database）に新しい CVE が追加された際には手動操作なしに再スキャンが行われる
最も運用負荷が低い構成はどれですか？
AAmazon Inspector v2 を Organizations と統合して有効化する。EC2 インスタンスと Lambda 関数の自動検出・CVE データ更新時の自動再スキャン・委任管理者アカウントへの集約が組み込みで提供される。
✓ 正解
Amazon Inspector v2 は EC2 と Lambda 関数を自動検出し、CVE データベース更新時に自動再スキャンを実施する。Organizations 統合で複数アカウントの結果を委任管理者で集約でき、すべての要件を組み込み機能で満たす。
BAWS Systems Manager Patch Manager を全アカウントに展開し、毎日スキャンするメンテナンスウィンドウを設定する。Compliance Reports で全インスタンスのパッチ適用状況と脆弱性を一元集約する。
AWS Systems Manager Patch Manager は OS やパッケージのパッチ適用管理ツールであり、アプリケーションライブラリの CVE 継続スキャンには対応していない。新しい CVE が公開された際の自動再スキャン機能も提供されない。
CAmazon GuardDuty を Organizations と統合して有効化する。EC2 と Lambda の保護機能を有効にし、脆弱性を悪用しようとする不審な動作を検出して委任管理者アカウントに集約する。
Amazon GuardDuty は脅威インテリジェンスと機械学習でアクティブな脅威行動を検出するサービスであり、インストール済みパッケージの CVE 脆弱性をスキャンする機能を持たない。脆弱性管理には Inspector を使用する。
DEC2 Image Builder パイプラインに Inspector スキャンステップを組み込み、AMI 作成時に脆弱性チェックを実施する。検出結果を Lambda 関数で処理して S3 バケットと SNS に転送する。
EC2 Image Builder は AMI 作成時点でのスキャンのみを提供し、稼働中インスタンスの継続的な CVE スキャンには対応していない。新しい CVE 公開時に稼働中リソースを自動再スキャンする仕組みが構築できない。
解説
Amazon Inspector v2 は EC2 インスタンス・Lambda 関数・ECR コンテナイメージを対象に、ソフトウェアパッケージの CVE を継続的にスキャンします。
選択肢AのAmazon Inspector v2 は以下の機能を組み込みで提供しており、すべての要件を満たすため最も運用負荷の低い選択肢です。
・新規デプロイされたリソースを自動検出してスキャン対象に追加
・NVD などの CVE データベースが更新されると手動操作なしに自動再スキャン
・Organizations 統合により委任管理者アカウントで全アカウントの結果を一元管理
選択肢BのAWS Systems Manager Patch Manager は OS・ミドルウェアのパッチ適用管理ツールであり、アプリケーションライブラリの CVE 継続スキャンや CVE 更新時の自動再スキャンには対応していません。
選択肢CのAmazon GuardDuty は脅威インテリジェンスと機械学習でアクティブな脅威行動を検出するサービスであり、インストール済みパッケージの CVE 脆弱性をスキャンする機能は持ちません。
選択肢DのEC2 Image Builder は AMI 作成時のスキャンのみを提供し、稼働中インスタンスの継続スキャンや CVE 更新時の自動再スキャンには対応していません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →