SOAセキュリティとコンプライアンス
あるスタートアップ企業のセキュリティチームは、Amazon GuardDutyが EC2 インスタンスから既知の C2（コマンド＆コントロール：攻撃者がマルウェア感染端末を遠隔操作するサーバー）への通信を検出した重大度「High」の finding を受け取りました。該当インスタンスをネットワークから自動的に隔離し、フォレンジック（証拠保全）用の EBS スナップショットを取得したいと考えています。最も自動化度が高く、運用負荷の低い実装はどれですか？
AGuardDuty findingをSNSトピックに送信してセキュリティチームへメール通知する。担当者が手動でセキュリティグループを変更し、スナップショットを取得する
GuardDuty findingをSNS経由でメール通知して担当者が手動で対応する構成では、セキュリティグループの変更やスナップショット取得まで人手の介入時間が必要です。リアルタイム自動化という要件を満たせません。
BGuardDutyのfindingをEventBridgeルールでキャプチャし、Lambda関数をトリガーしてセキュリティグループのルールをすべて削除しEBSスナップショットを自動取得する
✓ 正解
GuardDutyはすべてのfindingをEventBridgeにリアルタイム送信するため、EventBridgeルールで重大度HighをフィルタリングしてLambdaをトリガーすることで、セキュリティグループの隔離とEBSスナップショット取得を人手なしに自動化できます。
CCloudWatchカスタムメトリクスでGuardDuty findingを監視し、CloudWatch AlarmからSystems Manager Run Commandでスクリプトを実行する
GuardDuty findingをCloudWatchカスタムメトリクスに変換してAlarmで監視するのは間接的な構成です。EventBridgeによるネイティブ連携を使わない迂回路であり、設定が複雑で応答遅延が生じるため適切ではありません。
DGuardDuty findingをAWS Security Hubに集約し、Security Hubの手動承認ワークフローを経由してからインスタンスを停止・隔離する
Security Hubへの集約後に手動承認ワークフローを経由するとインシデント対応に担当者の判断と操作が必要になります。重大度Highのインシデントに対するリアルタイム自動対応という要件を満たせず、隔離の遅れが生じます。
解説
GuardDuty はすべての finding を Amazon EventBridge へリアルタイムに送信します。EventBridge ルールで重大度「High」をフィルタリングして Lambda 関数をトリガーすることで、セキュリティグループの全ルール削除（ネットワーク隔離）と EBS スナップショット取得を人手を介さず自動化できます。これは AWS が推奨するインシデント対応自動化パターンです。
選択肢AのSNS通知のみで手動介入が必要となり、自動化要件を満たしません。
選択肢CのCloudWatchカスタムメトリクス経由での実装であり、GuardDutyのEventBridgeネイティブ連携を使わない迂回路となるため構成が複雑になり適切ではありません。
選択肢DのSecurity Hubへの集約後に手動承認ワークフローを経由するため自動化されておらず、重大度「High」のインシデントへのリアルタイム自動対応という要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →