SOAネットワークとコンテンツ配信
ある企業のセキュリティチームは、VPC 内のプライベートサブネットで動作する EC2 インスタンスが悪意のあるドメイン（マルウェアの C&C サーバーなど）へ DNS クエリを送信するリスクを軽減したいと考えています。以下の条件を満たすソリューションを求めています。
・AWS が管理する脅威インテリジェンスドメインリストを活用した自動ブロック
・EC2 インスタンスや VPC の DNS 設定変更を最小限に抑える
・新たな脅威ドメインへの対応を手動作業なしに継続的に行う
・同一 VPC 内の正規ドメイン名前解決には影響しない
最も要件を満たすソリューションはどれですか？
ARoute 53 Resolver DNS Firewall のルールグループに AWS マネージドドメインリスト（AWSManagedDomainsMalwareDomainList など）を設定し、対象 VPC の Route 53 Resolver に関連付ける
✓ 正解
Route 53 Resolver DNS FirewallはAWSが継続更新するマネージドドメインリストを利用でき、VPC内の既存DNS設定を変えずにルールグループを関連付けるだけで導入できる。正規ドメインの解決には影響せず要件をすべて満たす。
BAWS Network Firewall のステートフルドメインリストルールにブロックするドメインを手動登録し、VPC 内の DNS トラフィック（UDP 53）を Network Firewall 経由でフィルタリングする
Network Firewallのドメインリストフィルタリングはドメインを手動登録する必要があり、AWSが管理する脅威インテリジェンスリストの自動適用をサポートしていないため、「手動作業なし」の要件を満たすことができない。
CAmazon GuardDuty の DNS 脅威検出を有効化し、検出結果を EventBridge でトリガーして Lambda が NACL を動的に更新することで悪意あるドメインへの DNS 通信をブロックする
GuardDutyは脅威検出サービスであり、NACLを動的に更新してDNS通信をブロックする方式は応答遅延が生じる。また、DNSレベルでのブロックではないため正規トラフィックへの誤遮断リスクもあり要件を満たさない。
DVPC の DHCP オプションセットをカスタム DNS サーバー（EC2 上の BIND サーバー）を指すよう変更し、独自の DNS フィルタリングポリシーで悪意のあるドメインへの応答を拒否する
カスタムDNSサーバーの構築・運用は専用EC2インスタンスの管理やVPCのDHCPオプション変更が必要で、AWSが管理する脅威インテリジェンスの自動更新機能も持たないため運用負荷が高く要件に反する。
解説
Route 53 Resolver DNS Firewall は VPC の Route 53 Resolver（.2 アドレスリゾルバー）と統合されたマネージド DNS フィルタリングサービスです。AWS マネージドドメインリスト（AWSManagedDomainsMalwareDomainList・AWSManagedDomainsAggregatedList 等）を使用すると、AWS が脅威インテリジェンスを継続更新するため手動作業が不要になります。既存の Route 53 Resolver 設定を変更せずにルールグループを VPC へ関連付けるだけで導入でき、正規ドメインの名前解決には影響しません。
選択肢BのNetwork Firewallはドメインフィルタリング機能を持ちますが、AWSが管理する脅威インテリジェンスリストの自動適用はできず、ドメインの手動登録が必要なため「手動作業なし」の要件を満たせない。
選択肢CのGuardDutyはDNS脅威を検出しますが、NACLを動的更新してDNS通信をブロックする方式はリアルタイム性が低く、正規トラフィックへの影響リスクもあるため要件を満たさない。
選択肢DのカスタムDNSサーバー方式はEC2インスタンスの構築・運用とVPCのDHCP設定変更が必要で、「設定変更を最小限」「手動作業なし」の要件に反する。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →