あるSaaS企業のセキュリティチームは、AWS環境内のS3バケット・KMSキー・IAMロール・SQSキューが意図せず外部アカウントやインターネットに公開されていないかを継続的に監視したいと考えています。複数のリソースタイプを横断的にカバーし、外部アクセスが検出された際にセキュリティチームへ即座に通知する仕組みを、最小の運用負荷で構築するには、どのサービスを中心に使用すべきか。
IAM Access Analyzerは、リソースポリシーを分析してS3バケット・KMSキー・IAMロール・SQSキュー・Lambda関数・Secrets Managerシークレット・SNSトピックなど複数のリソースタイプについて、信頼ゾーン外のエンティティからアクセス可能かどうかを継続的に分析します。外部アクセス可能なリソースを「ファインディング（調査結果）」として記録し、検出と同時にEventBridgeイベントを発行します。EventBridgeルールでSNSトピックにルーティングすることで、最小の設定で即時通知を実現できます。 選択肢AのAmazon GuardDutyは異常なAPIコール・マルウェア通信などのアクティブな脅威を検出するサービスであり、リソースポリシーによる外部公開状態の静的分析は主目的ではない。 選択肢BのAWS Security Hubは複数サービスの調査結果を集約・可視化するプラットフォームだが、リソースポリシーの外部アクセス分析自体はAccess Analyzerが担うため、Security Hub単体では要件を直接満たせない。 選択肢DのAWS Configでも公開リソースの検出は可能だが、リソースタイプごとに個別のマネージドルールを設定する必要があり、複数リソースを横断管理するAccess Analyzerより設定が煩雑になる。