AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

セキュリティ-専門知識

正解 B問題

分野2：インシデント対応タスクステートメント2.2：セキュリティイベントに対応する。

1 2 3 4

次の問題

問題文と選択肢

あるオンライン旅行予約サイトを運営する企業は、本番アカウントで Amazon GuardDuty から UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration の検出結果通知を受け取りました。セキュリティエンジニアはインシデント対応プレイブックに従って調査に着手し、証拠を迅速に収集しなければなりません。ただし、本番アプリケーションに影響を与える可能性のある変更は一切行わずに、当該アクティビティを関連情報とあわせて分析する必要があります。

セキュリティエンジニアはどの解決策を推奨すべきですか。

読み取り専用の認証情報で AWS アカウントにサインインし、AWS Config でリソースの構成変更履歴を確認したうえで、AWS Systems Manager の Session Manager を使って対象インスタンスに直接ログインし、詳細を調査する。
読み取り専用の認証情報で AWS アカウントにサインインし、GuardDuty の検出結果から関連する API アクティビティを特定したうえで、Amazon Detective を使ってそのアクティビティを関連情報とあわせて調査する。
読み取り専用の認証情報で AWS アカウントにサインインし、AWS Security Hub で該当の検出結果を確認したうえで、カスタムアクションを使って対象の IAM ID を直ちに隔離してから詳細を調査する。
読み取り専用の認証情報で AWS アカウントにサインインし、GuardDuty の検出結果から対象の IAM プリンシパルを確認したうえで、当該 IAM ID にすべての操作を拒否するポリシーをアタッチしてから調査を進める。

解説頻出度★★★★★

この問題は、「本番に一切変更を加えない × 迅速な証拠収集 × 関連情報とあわせた分析」の要件で、GuardDuty の検出結果をそのまま深掘りできる Amazon Detective を選べるかがポイント

A. 読み取り専用の認証情報で AWS アカウントにサインインし、AWS Config でリソースの構成変更履歴を確認したうえで、AWS Systems Manager の Session Manager を使って対象インスタンスに直接ログインし、詳細を調査する。

AWS Config が保持するのはリソースの構成変更履歴であり、盗まれた認証情報がどの API を呼び出したかというアクティビティの追跡には向きません。
さらに Session Manager で対象インスタンスに直接ログインする行為は、本番インスタンス上でセッションを開始しコマンドを実行する環境への介入にあたり、「本番に影響を与える変更は一切行わない」という制約に反します。
揮発性の証拠を上書きしてしまう恐れもあり、調査の初動としては不適切です。

正解

B. 読み取り専用の認証情報で AWS アカウントにサインインし、GuardDuty の検出結果から関連する API アクティビティを特定したうえで、Amazon Detective を使ってそのアクティビティを関連情報とあわせて調査する。

正解です。Amazon Detective はCloudTrail、VPC フローログ、GuardDuty の検出結果などを自動的に取り込み、エンティティ（IAM プリンシパル・IP アドレス・インスタンス）同士の関係をグラフとして保持します。
GuardDuty のコンソールからは検出結果を起点にそのまま Detective へピボットでき、「この認証情報がいつ・どの IP から・どの API を呼んだか」を時系列で俯瞰できます。
分析はすべて取り込み済みのデータに対する読み取り操作であり、本番リソースに一切変更を加えずに証拠を収集できるため、要件を唯一満たします。

C. 読み取り専用の認証情報で AWS アカウントにサインインし、AWS Security Hub で該当の検出結果を確認したうえで、カスタムアクションを使って対象の IAM ID を直ちに隔離してから詳細を調査する。

Security Hub のカスタムアクションで IAM ID を「直ちに隔離」する操作は、調査ではなく封じ込め（コンテインメント）です。
本番で利用中のプリンシパルを止めればアプリケーションが停止する可能性があり、「変更は一切行わない」という設問の制約に真っ向から反します。
また Security Hub は検出結果の集約・優先度付けが主眼で、アクティビティ同士を関連付けて掘り下げる分析基盤ではありません。

D. 読み取り専用の認証情報で AWS アカウントにサインインし、GuardDuty の検出結果から対象の IAM プリンシパルを確認したうえで、当該 IAM ID にすべての操作を拒否するポリシーをアタッチしてから調査を進める。

すべての操作を拒否するポリシーのアタッチは、認証情報の悪用を止める封じ込め手順としては正しいものの、実行するフェーズが違います。
そのプリンシパルが本番アプリケーションでも使われていれば、正規の処理まで即座に失敗します。
設問は「変更を行わずに証拠を収集・分析する」段階を問うており、封じ込めは影響範囲を把握した後の判断です。

これだけ覚える（記憶フック）
GuardDuty の検出結果を「掘る」なら Detective。隔離や Deny は封じ込めであって調査ではない。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
本番アプリケーションに影響を与える変更は一切行わない	隔離・全拒否ポリシーのアタッチ・インスタンスへのログインはいずれも対象環境を触る操作で、この制約に反する →選択肢（A・C・D）を消す
証拠を迅速に収集する必要がある	ログを一から集めて突き合わせるのではなく、あらかじめ取り込み済みのデータをすぐ検索できる仕組みが要る →選択肢（B）は候補
当該アクティビティを「関連情報とあわせて」分析する	Detective は CloudTrail・VPC フローログ・GuardDuty を関連付けたグラフで、プリンシパルと IP の振る舞いを可視化する →選択肢（B）が正解
検出結果は InstanceCredentialExfiltration（EC2 のロール認証情報が VPC 外から使用された疑い）	追うべきは認証情報を使った API 呼び出しの履歴で、AWS Config の構成変更履歴では追跡できない →選択肢（A）を消す

ひっかけポイント

4 択とも冒頭が「読み取り専用の認証情報でサインインし」で揃えられており、差がつくのはその後の操作。Session Manager でのログインや Deny ポリシーのアタッチは、読み取り専用では済まない環境への介入である
選択肢 C・D の隔離・全拒否ポリシーは、インシデント対応の手順としては正しいが順序が違う。設問は調査フェーズであり「変更を行わない」と明示的に縛っている
AWS Config はリソース構成のスナップショットと変更履歴。「誰がどの API を呼んだか」は CloudTrail / Detective の領域で、認証情報の悪用調査には使えない
Detective はインシデント前に有効化しておくサービス（有効化には GuardDuty を 48 時間以上稼働させている必要がある）。事後に有効化して過去を遡る道具ではない点も問われる

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「侵害された EC2 インスタンスを封じ込めたい」	隔離用セキュリティグループへの付け替えや、ロールへの全拒否ポリシー・アクセスキーの無効化が正解軸に。
「メモリやディスクのフォレンジック証拠を保全したい」	EBS スナップショット取得＋フォレンジック専用アカウントでの解析が正解に。
「複数アカウントの検出結果を一元的に集約・優先度付けしたい」	Security Hub（と GuardDuty の委任管理者設定）が正解軸に。
「検出結果を起点に対応を自動化したい」	EventBridge ルール＋Lambda / SSM Automation による自動修復が正解に。
「盗まれた認証情報がいつどの API を呼んだかを厳密に特定したい」	CloudTrail Lake や Athena によるログ分析が正解軸に。

AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

A. 読み取り専用の認証情報で AWS アカウントにサインインし、AWS Config でリソースの構成変更履歴を確認したうえで、AWS Systems Manager の Session Manager を使って対象インスタンスに直接ログインし、詳細を調査する。

B. 読み取り専用の認証情報で AWS アカウントにサインインし、GuardDuty の検出結果から関連する API アクティビティを特定したうえで、Amazon Detective を使ってそのアクティビティを関連情報とあわせて調査する。

C. 読み取り専用の認証情報で AWS アカウントにサインインし、AWS Security Hub で該当の検出結果を確認したうえで、カスタムアクションを使って対象の IAM ID を直ちに隔離してから詳細を調査する。

D. 読み取り専用の認証情報で AWS アカウントにサインインし、GuardDuty の検出結果から対象の IAM プリンシパルを確認したうえで、当該 IAM ID にすべての操作を拒否するポリシーをアタッチしてから調査を進める。

次の問題

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報