SOAセキュリティとコンプライアンス
ある企業のセキュリティチームは Amazon GuardDuty を全リージョンで有効化しています。EC2 インスタンスがマルウェアに感染し外部 C2 サーバーと通信していることを示す高重要度の検出結果が出た際、担当者の手動対応では封じ込めまでに時間がかかっていました。検出から数分以内に該当インスタンスをネットワーク隔離する対応を、可能な限り自動化したいと考えています。最も適切な方法はどれですか。
AGuardDuty の検出結果を EventBridge ルールで重要度と種別によりフィルタし、Systems Manager Automation ドキュメントを起動して該当インスタンスを隔離用セキュリティグループに付け替える
✓ 正解
GuardDuty の検出結果は自動的に EventBridge へ発行されるため、ルールで重要度・種別を絞り Automation ドキュメントを起動すれば、隔離用セキュリティグループへの付け替えをイベント駆動で数分以内に自動実行でき要件に最も合致する。
BGuardDuty の検出結果を AWS Security Hub に集約し、統合ダッシュボードで確認した担当者が手動で該当インスタンスを停止して調査を開始する
Security Hub への集約は複数ソースの可視化には有効だが、実際の封じ込め操作が担当者の手動対応のままであり、検出から数分以内の自動隔離という要件を満たさない。
CGuardDuty を Amazon Detective と連携し、検出結果ごとに生成されるエンティティのふるまい分析を確認したうえで担当者が隔離作業を実施する
Detective は検出結果に関連するエンティティのふるまいを可視化・調査するためのサービスで、インスタンスを自動的にネットワーク隔離する実行機能は持たず、対応は依然として手動になる。
DCloudTrail のデータイベントを Amazon Athena で定期的にクエリし、不審な API 呼び出しを見つけたら Lambda 関数で当該インスタンスを隔離する
CloudTrail を Athena で定期クエリする方式はポーリング間隔ぶんの遅延が避けられず数分以内の即応に不向きで、GuardDuty が提供する脅威インテリジェンスに基づく検出も活かせない。
解説
GuardDuty は検出結果を自動で Amazon EventBridge に発行します。EventBridge ルールで重要度（例：7.0 以上）や finding type、リソース種別をパターンマッチングし、ターゲットに Systems Manager Automation ドキュメント（または Lambda）を指定すれば、検出から数分以内に該当 EC2 インスタンスのセキュリティグループをアウトバウンドを遮断する隔離用グループへ付け替える一連の対応をコードを最小限にして自動化できます。イベント駆動のため人手を介さず即応できます。
選択肢Bの Security Hub への集約は可視化に有用だが、封じ込めが手動のままで自動化・即応の要件を満たさない。
選択肢Cの Detective は検出結果の調査・根本原因分析を支援するツールで、自動隔離を実行する機能はなく対応はやはり手動になる。
選択肢Dの CloudTrail を Athena で定期クエリする方式は、ポーリング間隔ぶんの遅延が生じ数分以内の即応に向かず、GuardDuty の脅威インテリジェンスも活用できない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →