SOAモニタリング、ロギング、分析、修復、およびパフォーマンスの最適化
セキュリティポリシーとして、すべてのS3バケットはパブリックアクセスブロックを有効にする必要があります。バケットの設定が変更されて無効になった場合に、人手の介入なしで自動的に準拠状態へ戻すことが求められています。継続的なコンプライアンスを最小の運用負荷で維持する方法として最も適切なのはどれですか。
AAWS Security Hubのセキュリティスタンダードでパブリックアクセスブロックの準拠状態を可視化し、非準拠検出時にSNS通知を送信する
AWS Security Hubは非準拠を検出して通知できるが、設定を自動修正する機能は持たず人手での対応が残るため要件を満たさない。
BAWS ConfigルールでS3バケットのパブリックアクセスブロック設定を継続評価し、非準拠リソース検出時にSystems Manager Automationで設定を自動修正する
✓ 正解
AWS ConfigはS3バケットの設定を定期的かつ変更検出時に評価し、SSM Automationリメディエーションで非準拠バケットの設定を自動修正できる。
CAmazon EventBridgeでS3の設定変更APIコールを監視してLambdaを起動し、パブリックアクセスブロック設定を確認・有効化するとともに変更履歴をS3に保存する
Amazon EventBridge + LambdaはAPIイベントを捕捉して自動修正できるが、イベント欠落時のドリフト検出や定期的な再評価が別途必要となる。
DAmazon GuardDutyのS3保護を有効化してバケットへの不審なアクセスを検出し、EventBridgeルールでLambdaを起動してパブリックアクセスブロックを設定する
Amazon GuardDutyのS3保護は不審なデータアクセスの脅威検出を目的としており、パブリックアクセスブロックの設定コンプライアンス評価には対応していない。
解説
AWS ConfigはS3バケットの設定状態を継続的に評価する機能を持ち、SSM Automationリメディエーションにより非準拠検出と同時に自動修正が完結する。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →