AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

セキュリティ-専門知識

正解 D問題

分野2：インシデント対応タスクステートメント2.2：セキュリティイベントに対応する。

1 2 3 4

次の問題前の問題

問題文と選択肢

ある動画配信会社は、数百万件の会員視聴履歴データを Amazon S3 バケットに保存している。セキュリティエンジニアは Exfiltration:S3/AnomalousBehavior タイプの Amazon GuardDuty の検出結果を受け取った。調査の結果、攻撃者は s3:GetObject 権限を持つ Amazon EC2 インスタンスから取得した一時認証情報を使用しており、すでにデータのダウンロードを開始していることが確認された。開発チームは恒久的な修正の実装とデプロイに 4 時間を要すると回答している。セキュリティエンジニアは、不要な業務影響を最小限に抑えつつ、攻撃者がバケットから追加のデータをダウンロードできないよう直ちに対処する必要がある。

セキュリティエンジニアが実装すべき解決策はどれか。

Amazon CloudFront の前段に AWS WAF を配置し、不審な送信元 IP アドレスからのリクエストを拒否するルールを追加する
バケットポリシーを一時的に変更し、すべてのプリンシパルに対して s3:GetObject を拒否することで、恒久対応が完了するまで全てのダウンロードを停止する
EC2 インスタンスプロファイルから該当の IAM ロールをデタッチしてインスタンスを停止し、一時認証情報が自然に失効するまで待ってからアプリケーション群の運用を継続する
EC2 インスタンスプロファイルに関連付けられている IAM ロールのアクティブな一時セッションを取り消し、侵害された認証情報を直ちに使用不能にする

解説頻出度★★★★★

この問題は、「漏えいしたのは一時認証情報 × 直ちに止める × 業務影響は最小」の条件から、IAM ロールのアクティブセッションの取り消し（Revoke sessions）を選べるかがポイントです。ロールをデタッチしても発行済みの一時認証情報は失効せず、攻撃者は有効期限まで使い続けられる点が最大の分かれ目です。

A. Amazon CloudFront の前段に AWS WAF を配置し、不審な送信元 IP アドレスからのリクエストを拒否するルールを追加する

攻撃者は盗んだ一時認証情報で Amazon S3 の API を直接呼び出しているため、CloudFront / AWS WAF というウェブ配信経路の防御はまったく通り道になりません。
S3 の API エンドポイントへのリクエストは WAF を経由しないので、ルールを追加しても攻撃は止まりません。
さらに送信元 IP のブロックは、攻撃者が別の IP へ移動すれば簡単に回避されます。

B. バケットポリシーを一時的に変更し、すべてのプリンシパルに対して s3:GetObject を拒否することで、恒久対応が完了するまで全てのダウンロードを停止する

すべてのプリンシパルに対して s3:GetObject を Deny すれば攻撃者も止まりますが、正規のアプリケーションと利用者もすべて読み取り不能になります。
設問は「不要な業務影響を最小限に抑えつつ」と明示しており、恒久対応までの 4 時間サービスを丸ごと止めるのは要件違反です。
封じ込めの粒度が粗すぎる典型的な過剰対応です。

C. EC2 インスタンスプロファイルから該当の IAM ロールをデタッチしてインスタンスを停止し、一時認証情報が自然に失効するまで待ってからアプリケーション群の運用を継続する

最大の誤りは、インスタンスプロファイルからロールをデタッチしても、すでに発行済みの一時認証情報は失効しない点です。攻撃者の手元の認証情報は有効期限が来るまで使え続け、その間ダウンロードは止まりません。
「自然に失効するまで待つ」という方針そのものが、直ちに対処するという要件に反しています。
加えてインスタンスの停止はアプリケーションの停止を意味し、業務影響も最小になりません。

正解

D. EC2 インスタンスプロファイルに関連付けられている IAM ロールのアクティブな一時セッションを取り消し、侵害された認証情報を直ちに使用不能にする

IAM ロールに対してアクティブセッションの取り消し（Revoke sessions）を実行すると、指定時刻より前に発行されたセッションのすべてのアクションを拒否するポリシーがロールへ付与され、攻撃者の一時認証情報は即座に使用不能になります。
一方、正規の EC2 インスタンスはインスタンスメタデータから取り消し時刻より後の新しい認証情報を取得できるため、アプリケーションは継続または速やかに復旧でき、業務影響は最小限に収まります。
バケットや他の利用者へ影響を広げずに、侵害された認証情報だけをピンポイントで無効化できる、封じ込めの定石です。

これだけ覚える（記憶フック）
一時認証情報の漏えいは「セッションの取り消し」。ロールを外しても、配られた認証情報は期限まで生き続ける。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
攻撃者は EC2 から取得した一時認証情報で S3 API を直接呼んでいる	経路はウェブ配信ではなく AWS API。エッジの WAF / CloudFront は通らない →選択肢（A）を消す
「直ちに」追加ダウンロードを止める	発行済みの一時認証情報はロールをデタッチしても失効しない。有効期限まで有効なので待つ選択肢は成立しない →選択肢（C）を消す
「不要な業務影響を最小限に抑えつつ」	全プリンシパル拒否やインスタンス停止は正規利用まで巻き込む過剰対応 →選択肢（B・C）を消す
恒久対応まで 4 時間、その間だけ封じ込めたい	ロールのアクティブセッション取り消しなら、盗まれた既存セッションだけを無効化し、正規側は新しい認証情報で継続できる →選択肢（D）が正解

ひっかけポイント

選択肢 C の「ロールをデタッチしてインスタンスを停止」は一見手堅い封じ込めに見えるが、すでに配布済みの一時認証情報には何の効果もない。認証情報は STS が発行済みのトークンであり、ロールとの関連付けを切っても期限まで有効
「すべてのプリンシパルに Deny」は確実に止まるので正解に見えるが、設問の「不要な業務影響を最小限に」という一文がこの選択肢を落とすための条件。要件文の副詞句を読み飛ばさない
GuardDuty の Exfiltration:S3/AnomalousBehavior は「S3 からの異常なデータ持ち出し」を示す検出結果。ネットワーク層ではなく認証情報の悪用を疑うべきシグナルであり、WAF / IP ブロックは的外れ
セッション取り消しはロール単位で効く。取り消し後も同じロールを引き受けられる権限は残るため、恒久対応（権限の見直し・インスタンスの隔離と再作成）は別途必要

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「漏えいしたのがIAM ユーザーの長期アクセスキーだった」	セッション取り消しではなくアクセスキーの無効化（Inactive）・削除とローテーションが正解軸になる。
「攻撃者が使ったのが特定の VPC 外からのアクセスだと判明した」	バケットポリシーの条件キー（aws:SourceVpce / aws:SourceIp）で範囲を絞った拒否が現実的な封じ込めになる。
「侵害された EC2 インスタンス自体をフォレンジック調査したい」	隔離用セキュリティグループへの付け替え、EBS スナップショット取得、メモリダンプ採取という手順が正解軸に変わる。
「同じ事象を再発させないための恒久対策は」	IMDSv2 の強制、ロール権限の最小化、S3 バケットの VPC エンドポイント制限、GuardDuty + Security Hub による継続監視。

AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

A. Amazon CloudFront の前段に AWS WAF を配置し、不審な送信元 IP アドレスからのリクエストを拒否するルールを追加する

B. バケットポリシーを一時的に変更し、すべてのプリンシパルに対して s3:GetObject を拒否することで、恒久対応が完了するまで全てのダウンロードを停止する

C. EC2 インスタンスプロファイルから該当の IAM ロールをデタッチしてインスタンスを停止し、一時認証情報が自然に失効するまで待ってからアプリケーション群の運用を継続する

D. EC2 インスタンスプロファイルに関連付けられている IAM ロールのアクティブな一時セッションを取り消し、侵害された認証情報を直ちに使用不能にする

次の問題 前の問題

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報