AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

セキュリティ-専門知識

正解 B問題

分野3：インフラストラクチャのセキュリティタスクステートメント3.2：コンピューティングワークロードのセキュリティコントロールを設計、実装、トラブルシューティングする。

1 2 3 4

次の問題前の問題

問題文と選択肢

あるEコマース企業は、数百台の Amazon EC2 インスタンスで Web アプリケーションサーバーを稼働させています。ある日、稼働中のミドルウェアの特定バージョンに重大な脆弱性が公表されました。セキュリティチームは、どのインスタンスに当該バージョンがインストールされているかを迅速に洗い出し、優先度をつけてパッチを適用したいと考えています。

この目的を最も効率的に達成できる方法はどれですか。

各 EC2 インスタンスに Amazon GuardDuty のエージェントを導入し、稼働中のソフトウェアのバージョンを継続的に監視する。
AWS Systems Manager の Inventory 機能でインストール済みソフトウェアのバージョン情報を収集し、該当バージョンが検出されたインスタンスに Patch Manager でパッチを適用する。
Amazon Inspector のネットワーク到達可能性の分析で全 EC2 インスタンスをスキャンし、脆弱なミドルウェアがインストールされているインスタンスを特定する。
Amazon Inspector のコードスキャン機能で Lambda 関数と Amazon ECR イメージのソースコードをスキャンし、脆弱なライブラリへの参照を検出する。

解説頻出度★★★★★

この問題は、「数百台の EC2 に何が入っているかを棚卸しし、該当機だけに素早くパッチを当てる」という要件に対し、AWS Systems Manager の Inventory（構成情報の収集）と Patch Manager（適用）の組み合わせを選べるかがポイントです。

A. 各 EC2 インスタンスに Amazon GuardDuty のエージェントを導入し、稼働中のソフトウェアのバージョンを継続的に監視する。

Amazon GuardDuty は CloudTrail・VPC フローログ・DNS ログや、ランタイムモニタリングのエージェントによる不審な挙動の検知を担当するサービスです。
インストール済みソフトウェアのバージョンを棚卸しする機能は持たず、そもそも設問の「どのインスタンスに当該バージョンが入っているか」という問いに答えられません。脅威検知と構成管理の役割を取り違えた選択肢です。

正解

B. AWS Systems Manager の Inventory 機能でインストール済みソフトウェアのバージョン情報を収集し、該当バージョンが検出されたインスタンスに Patch Manager でパッチを適用する。

AWS Systems Manager の Inventory は、SSM Agent を通じてインストール済みアプリケーションとそのバージョン、OS 情報、ネットワーク構成などのメタデータを自動収集します。収集結果は集約して検索できるため、数百台の中から該当バージョンのインスタンスだけを一覧化できます。
洗い出したインスタンスにはタグやリソースグループで対象を絞り、Patch Manager のパッチベースラインとメンテナンスウィンドウで一括適用できます。
「特定 → 優先度付け → 適用」を単一のサービス群でエージェント経由で完結でき、最も効率的です。

C. Amazon Inspector のネットワーク到達可能性の分析で全 EC2 インスタンスをスキャンし、脆弱なミドルウェアがインストールされているインスタンスを特定する。

ネットワーク到達可能性の分析は、セキュリティグループ・NACL・ルートテーブル・IGW などの設定からインターネットや他ネットワークからポートに到達できてしまう経路を洗い出す機能です。
評価対象はネットワーク構成であり、インスタンス内部にどのミドルウェアのどのバージョンが入っているかは判定できません。設問の要件とかみ合いません。

D. Amazon Inspector のコードスキャン機能で Lambda 関数と Amazon ECR イメージのソースコードをスキャンし、脆弱なライブラリへの参照を検出する。

Amazon Inspector のコードスキャンは AWS Lambda 関数のコードや Amazon ECR のコンテナイメージを対象とする機能で、EC2 インスタンス上で稼働中のミドルウェアを棚卸しする用途ではありません。
設問の対象は数百台の EC2 インスタンスなので、スキャン対象そのものが噛み合っていません。

これだけ覚える（記憶フック）
「どのインスタンスに何が入っているか」は Systems Manager Inventory。当てるのは Patch Manager。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
どのインスタンスに特定バージョンが入っているかを洗い出す	インストール済みソフトウェアの棚卸しは Systems Manager Inventory の担当 →選択肢（B）が正解
対象は数百台の Amazon EC2 インスタンス	スキャン対象が Lambda / ECR の機能では要件に届かない →選択肢（D）を消す
優先度をつけてパッチを適用する	洗い出しに続けて Patch Manager でベースライン適用まで一気通貫にできるか →選択肢（B）が正解、選択肢（C）は特定止まりでも要件を満たさない
脅威検知ではなく構成情報の可視化が要件	GuardDuty は不審な挙動の検知であり、ソフトウェア資産管理の道具ではない →選択肢（A）を消す
「最も効率的に」という判断軸	全台に手作業でログインせず、SSM Agent 経由でエージェントレス運用に近い形で完結する案を選ぶ →選択肢（B）が正解

ひっかけポイント

選択肢（A）は「エージェントを導入して継続的に監視」という語感が正しく聞こえるが、GuardDuty のエージェントはランタイムの脅威検知用。ソフトウェアのバージョン一覧は出てこない
選択肢（C）は Amazon Inspector という「脆弱性管理の本命サービス」の名前で引っ掛けてくる。機能名（ネットワーク到達可能性）まで読むと、評価対象がネットワーク経路であって内部のソフトウェアではないと分かる
選択肢（D）も Inspector だが、対象が Lambda と ECR イメージ。問題文の対象（EC2 インスタンス）とスキャン対象がずれている点で消せる
「特定できるか」だけで選ぶと（C）に引き寄せられる。設問はパッチ適用までを求めているので、適用手段を持つ案が優位になる

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「脆弱性のCVE と深刻度スコアで優先順位を付けたい」	Amazon Inspector の EC2 スキャン（SSM Agent 経由）による脆弱性検出が正解軸に。
「SSM Agent が入っていない・インターネット経路が無いインスタンスを管理したい」	VPC エンドポイント（ssm・ssmmessages・ec2messages）と IAM インスタンスプロファイルの設定が正解軸に。
「パッチ適用状況をコンプライアンスとして継続的に評価したい」	Patch Manager のコンプライアンスレポートや AWS Config ルール・AWS Security Hub が正解軸に。
「全台に同じコマンドを一斉実行して調べたい」	Systems Manager Run Command（Session Manager でのログインではなく）が正解軸に。
「コンテナイメージに含まれる脆弱なライブラリを見つけたい」	Amazon Inspector の ECR イメージスキャンが正解軸に変わる。

AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

A. 各 EC2 インスタンスに Amazon GuardDuty のエージェントを導入し、稼働中のソフトウェアのバージョンを継続的に監視する。

B. AWS Systems Manager の Inventory 機能でインストール済みソフトウェアのバージョン情報を収集し、該当バージョンが検出されたインスタンスに Patch Manager でパッチを適用する。

C. Amazon Inspector のネットワーク到達可能性の分析で全 EC2 インスタンスをスキャンし、脆弱なミドルウェアがインストールされているインスタンスを特定する。

D. Amazon Inspector のコードスキャン機能で Lambda 関数と Amazon ECR イメージのソースコードをスキャンし、脆弱なライブラリへの参照を検出する。

次の問題 前の問題

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報