SOAセキュリティとコンプライアンス

Amazon GuardDutyが、EC2インスタンスからC&Cサーバーへの通信を示す検出結果を出力した。セキュリティチームは、この検出をトリガーに対象インスタンスを自動的にネットワークから隔離したい。人手の介入を最小限に抑えた自動修復フローとして最適な構成はどれか。

A
Security Hubのカスタムアクションを作成してEventBridgeと統合し、オペレーターが検出結果を選択してLambda関数を手動で起動する
Security Hubカスタムアクションはオペレーターによる手動選択・起動が前提のため、完全自動化による人手介入最小の要件を満たさない。
B
GuardDutyの検出結果をCloudWatch Logsにエクスポートし、メトリクスフィルターでSNSアラームを作成してオペレーターに通知する
CloudWatch LogsへのエクスポートとメトリクスフィルターによるSNS通知はリアルタイム自動修復ではなくオペレーターへの通知にとどまり、自動隔離の要件を満たさない。
C
GuardDutyの検出結果をEventBridgeルールで受信し、Lambda関数で対象インスタンスのセキュリティグループを隔離用グループに変更する
✓ 正解
GuardDuty検出結果をEventBridgeがリアルタイム受信し、LambdaがインスタンスレベルでSGを隔離用グループに変更することで即時かつ完全な自動隔離が実現できる。
D
GuardDutyの検出結果をEventBridgeルールで受信し、Systems Manager Automationを起動してサブネットのNACLにブロックルールを追加する
NACLはサブネット単位で適用されるため対象インスタンスのみを隔離できず、同サブネット内の正常なインスタンスの通信にも影響が及ぶ。

解説

GuardDuty検出結果はEventBridgeと直接統合でき、Lambdaをトリガーして対象インスタンスのSGを全通信拒否の隔離用グループに即時変更することでインスタンス単位の完全自動隔離が実現できる。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
SOA の問題一覧に戻る