AWS認定資格 WEB問題集＆徹底解説

セキュリティ-専門知識

正解 B問題
分野1：検出 タスクステートメント1.2：ロギングソリューションを設計し、実装する。
要復習（もう一度解きたい問題） 1 2 3 4
次の問題前の問題
合格に向けて、もっと深く学習する
豊富な問題と詳細なAWSサービス解説を、24時間無料でお試しいただけます
プレミアム会員機能を無料で試す ❯
問題文と選択肢
あるグローバルアパレル小売企業のセキュリティチームは、AWSアカウント内で発生するすべての管理系API呼び出しについて、セキュリティ上の異常がないかを継続的にレビューできるようにしたいと考えている。ログは、現在利用しているリージョンだけでなく、将来新しく追加されるリージョンも含めて、単一の場所に集約・保持されなければならない。

この要件を、最も運用負荷を抑えて実現する方法はどれか。
  • すべてのリージョンでAWS Security Hubのセキュリティ基準を有効化し、集約された検出結果を単一のAmazon S3バケットにエクスポートする
  • 新しい証跡を作成し、「すべてのリージョンに適用する」オプションを有効にしてAWS CloudTrailを構成する。ログの保存先として単一のAmazon S3バケットを指定する
  • 利用中の各リージョンごとにAWS CloudTrailの証跡を個別に作成し、いずれも同一のAmazon S3バケットへログを配信するよう設定する
  • 各リージョンでAWS Configのレコーダーをグローバルリソースを含めて有効化し、設定変更の履歴スナップショットを単一のAmazon S3バケットに集約する
解説 頻出度★★★★★
この問題は、「すべての管理系 API 呼び出し × 将来追加されるリージョンも含む × 単一の場所に集約 × 運用負荷最小」の要件で、マルチリージョンの CloudTrail 証跡を 1 本作ると判断できるかがポイント

A. すべてのリージョンでAWS Security Hubのセキュリティ基準を有効化し、集約された検出結果を単一のAmazon S3バケットにエクスポートする

AWS Security Hub が集約するのは、各セキュリティ基準やサービスが生成した検出結果（findings）であって、アカウント内で発生したすべての管理系 API 呼び出しの記録ではありません。
そもそも Security Hub のコントロールの多くは CloudTrail のログを前提としており、CloudTrail を有効化していなければ評価そのものが成り立ちません。
加えてリージョンごとの有効化とエクスポート設定が必要で、要件（全 API 呼び出しの継続的なレビュー）にも運用負荷にも合致しません。

正解

B. 新しい証跡を作成し、「すべてのリージョンに適用する」オプションを有効にしてAWS CloudTrailを構成する。ログの保存先として単一のAmazon S3バケットを指定する

正解です。CloudTrail の証跡は作成時に「すべてのリージョンに適用する」（マルチリージョン証跡）を選ぶことができ、この 1 本で全リージョンの管理イベントを取得して単一の S3 バケットへ配信できます。
マルチリージョン証跡は、AWS が新しいリージョンを追加した際にも自動的にそのリージョンを対象に含めるため、将来の拡張に対して設定作業が発生しません。
IAM や AWS STS などのグローバルサービスイベントもこの証跡で取得でき、「1 回の設定で恒久的に全リージョンをカバーする」という点で最も運用負荷が低い解になります。

C. 利用中の各リージョンごとにAWS CloudTrailの証跡を個別に作成し、いずれも同一のAmazon S3バケットへログを配信するよう設定する

各リージョンに単一リージョン証跡を個別に作れば、確かに同一バケットへ集約すること自体は可能です。
しかしリージョンの数だけ証跡を作成・維持する必要があり、新しいリージョンが追加されるたびに人手で証跡を追加しなければならず、設定漏れがそのままログの欠落になります。
要件が「最も運用負荷を抑えて」である以上、マルチリージョン証跡 1 本で済む選択肢 B に劣ります。

D. 各リージョンでAWS Configのレコーダーをグローバルリソースを含めて有効化し、設定変更の履歴スナップショットを単一のAmazon S3バケットに集約する

AWS Config が記録するのはリソースの構成（設定内容）とその変更履歴であり、「誰がどの API をいつ呼び出したか」というAPI 呼び出しの記録そのものではありません。
読み取り系の API や、リソース構成を変えない操作は Config には現れません。
さらにレコーダーはリージョンごとに有効化が必要で、新リージョンの追加にも追随できず、要件を二重に満たせません。

これだけ覚える（記憶フック）
API 呼び出しの記録は CloudTrail、全リージョンは「証跡 1 本」。リージョンごとに作るのは運用負荷の罠。
正解への思考ルート 問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。
要件 判断ポイント
アカウント内で発生するすべての管理系 API 呼び出しを記録する API 呼び出しの記録は AWS CloudTrail の役目。検出結果の集約（Security Hub）や構成履歴（Config）では代替できない
→選択肢（A・D）を消す
将来新しく追加されるリージョンも自動的に対象にする マルチリージョン証跡は新規リージョンを自動的にカバーする。リージョンごとの個別設定は追随できない
→選択肢（C）を消す
ログを単一の場所に集約・保持する CloudTrail は複数リージョンのイベントを1 つの S3 バケットへ配信できる
→選択肢（B・C）は候補
最も運用負荷を抑える 「証跡 1 本を作って終わり」と「リージョン数ぶん作って維持し続ける」の比較。1 回の設定で完結する方を選ぶ
→選択肢（B）が正解
ひっかけポイント
  • 選択肢 C は要件自体は満たせてしまうのが罠。落とすべき理由は「できない」ではなく新リージョン追加のたびに手作業が発生し運用負荷が高いという比較優位の観点
  • Security Hub は「セキュリティを一元管理する」という語感から選びたくなるが、扱うのは検出結果であって生の API ログではない
  • AWS Config と CloudTrail の混同は定番。Config = 構成のスナップショット・変更履歴、CloudTrail = 誰が何をしたかの API 記録と切り分ける
  • グローバルサービス（IAM・AWS STS など）のイベントはマルチリージョン証跡なら自動的に含まれる。単一リージョン証跡を並べる方式では取りこぼしに注意
出題バリエーション 同じ知識が本番では条件を変えて出題されます。
問題文がこう変わったら 正解はこう変わる
「組織内の全アカウントのログを 1 か所に集約したい」 AWS Organizations の組織の証跡（organization trail）が正解軸に。新規アカウントも自動でカバーされる。
「S3 のオブジェクト単位の読み取り／書き込みも記録したい」 管理イベントでは足りず、データイベントの有効化が正解に（追加料金が発生する点も論点）。
「ログが改ざんされていないことを証明したい」 ログファイルの整合性検証の有効化と、S3 オブジェクトロック／MFA Delete が正解軸に。
「集約したログをSQL で分析したい／異常を検知したい」 Amazon Athena でのクエリ、または CloudWatch Logs へ配信してメトリクスフィルター＋アラームが正解に。
「リアルタイムに特定の API 呼び出しを検知して通知したい」 CloudTrail 単体ではなく EventBridge ルール＋SNS の組み合わせが正解軸に。
関連サービスの解説 Amazon Simple Storage Service (Amazon S3)
AWS CloudTrail
AWS Config
AWS Security Hub
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 0%
No.12 解説
あるグローバルアパレル小売企業のセキュリティチームは、AWSアカウント内で発生するすべての管理系API呼び出しについて、セキュリティ上の異常がないかを継続的にレビューできるようにしたいと考えている。ログは、現在利用しているリージョンだけでなく、将来新しく追加されるリージョンも含めて、単一の場所に集約・保持されなければならない。

この要件を、最も運用負荷を抑えて実現する方法はどれか。
  • すべてのリージョンでAWS Security Hubのセキュリティ基準を有効化し、集約された検出結果を単一のAmazon S3バケットにエクスポートする
  • 新しい証跡を作成し、「すべてのリージョンに適用する」オプションを有効にしてAWS CloudTrailを構成する。ログの保存先として単一のAmazon S3バケットを指定する
  • 利用中の各リージョンごとにAWS CloudTrailの証跡を個別に作成し、いずれも同一のAmazon S3バケットへログを配信するよう設定する
  • 各リージョンでAWS Configのレコーダーをグローバルリソースを含めて有効化し、設定変更の履歴スナップショットを単一のAmazon S3バケットに集約する

次の問題前の問題


(会員限定)当問題の評価をお願いします。改善に活用します。
広告

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報