SOAセキュリティとコンプライアンス
ある企業は AWS Organizations で複数のビジネスユニットの VPC を管理しています。コンプライアンス要件として、すべての VPC からのアウトバウンドインターネット通信を中央で一元的に検査し、悪意あるドメインへの通信（FQDN ベース）をブロックする必要があります。個々の VPC への設定変更を最小限に抑えながら、組織全体に一貫したポリシーを適用するアーキテクチャはどれですか？
A各 VPC の Application Load Balancer に AWS WAF WebACL を設定し、不正ドメインの IP アドレスをマネージドルールでブロックする
AWS WAF は ALB や CloudFront にアタッチして HTTP/HTTPS リクエストを検査するサービスで、VPC レベルの全アウトバウンドトラフィック（非 HTTP を含む）を一元的に FQDN フィルタリングする用途には使用できない。
B各 VPC の NACL にアウトバウンド拒否エントリを手動で追加し、既知の不正 IP アドレスを CIDR 単位でブロックする
NACL は IP アドレスと CIDR によるフィルタリングのみをサポートし、FQDN（ドメイン名）単位のブロックは不可能。悪意あるドメインの IP は動的に変化するため、手動での CIDR 管理は現実的でない。
CAWS Transit Gateway で各 VPC を集約し、中央の検査 VPC に配置した AWS Network Firewall で FQDN フィルタリングポリシーを一元適用する
✓ 正解
AWS Network Firewall はステートフルな FQDN フィルタリングをネイティブでサポートし、Transit Gateway を介して集約したトラフィックを中央の検査 VPC で処理することで、各 VPC を変更せずに組織全体への一元的なポリシー適用が実現できる。
D各 VPC の NAT ゲートウェイ前段にプロキシ EC2 インスタンスを配置し、セキュリティグループでアウトバウンドポートを制限する
プロキシ EC2 は FQDN フィルタリングの実装は可能だが、プロキシソフトウェアの運用・パッチ適用・スケーリング・高可用性構成が必要となり、マネージドサービスである Network Firewall と比べて管理コストが大きくなる。
解説
AWS Network Firewall はマネージドのネットワークファイアウォールサービスで、ステートフルインスペクション・FQDN フィルタリング・Suricata 互換の侵入防御（IPS）ルールをサポートします。Transit Gateway で全 VPC のアウトバウンドトラフィックを中央の「検査 VPC」に集約し、そこに Network Firewall を配置することで、各 VPC に設定変更を加えることなく組織全体の通信を一元的に検査できます。AWS Firewall Manager と組み合わせることで、Organization 全体へのポリシー自動展開も実現できます。
選択肢AのAWS WAFは HTTP/HTTPS アプリケーション層（L7）のウェブリクエスト保護を目的とするサービスで、VPC 全体のアウトバウンド通信（非 HTTP トラフィックを含む）を FQDN レベルで検査する機能はない。
選択肢BのNACLは IP アドレス・ポートによるフィルタリングのみで FQDN（ドメイン名）ベースのブロックは不可能。悪意あるドメインの IP アドレスは頻繁に変化するため手動管理も非現実的。
選択肢Dのプロキシ EC2 は FQDN フィルタリングの実装は可能だが、プロキシソフトウェアの運用・パッチ適用・スケーリング・高可用性構成が必要となり、マネージドの Network Firewall より管理コストが大きくなる。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →