AWS認定資格 WEB問題集＆徹底解説

セキュリティ-専門知識

正解 B問題
分野2：インシデント対応 分野5：データ保護 タスクステートメント2.1：インシデント対応計画を策定し、テストする。 タスクステートメント5.2：保管中のデータのコントロールを設計し、実装する。
要復習（もう一度解きたい問題） 1 2 3 4
次の問題
合格に向けて、もっと深く学習する
豊富な問題と詳細なAWSサービス解説を、24時間無料でお試しいただけます
プレミアム会員機能を無料で試す ❯
問題文と選択肢
ある通販サイトは、Application Load Balancer 配下の Amazon EC2 インスタンス群でフロントエンドアプリケーションを稼働させている。EC2 インスタンスは Amazon EBS ボリュームを使用し、商品画像などの大容量メディアファイルは Amazon S3 に保存している。同社はランサムウェア対策として予防的統制および検知的統制をすでに導入済みである。

セキュリティチームは、既存の統制をランサムウェアが突破した場合に備え、環境を正常な既知の状態へ復旧できるディザスタリカバリ策を設計する必要がある。この策は、RPO 1時間を満たし、かつアプリケーション環境を迅速に再構築できるものでなければならない。

セキュリティエンジニアが推奨すべき解決策はどれか。
  • AWS Backup で EBS ボリュームと S3 データを日次でバックアップするバックアッププランを設定し、Amazon Security Lake でログを分析して自動修復ワークフローをトリガーする構成にする
  • AWS Backup で EBS ボリュームと S3 データを 1 時間ごとにバックアップするバックアッププランを設定し、インフラ構成を AWS CloudFormation テンプレートとして保管しておき、必要なときに迅速に環境を再構築できるようにする
  • AWS Elastic Disaster Recovery を使って EC2 インスタンスをステージング環境へ継続的にレプリケートし、S3 データはクロスリージョンレプリケーションで複製する。復旧手順はランブック文書として運用チームが保管し、障害発生時に手動で実施する
  • AWS Config ルールで、EBS ボリュームと S3 バケットのバックアップ頻度に関するコンプライアンス状態を監視する。あわせて Amazon EventBridge のスケジュールルールで 15 分ごとに AWS Lambda 関数を呼び出し、バックアップ実施状況を検証して Amazon SNS でセキュリティチームに通知する
解説 頻出度★★★★★
この問題は、「ランサムウェアからの復旧 × RPO 1時間 × 迅速な環境再構築」という 3 条件を同時に満たす組み合わせとして、世代管理されたバックアップ（AWS Backup）と IaC（CloudFormation）テンプレートを選べるかがポイントです。

A. AWS Backup で EBS ボリュームと S3 データを日次でバックアップするバックアッププランを設定し、Amazon Security Lake でログを分析して自動修復ワークフローをトリガーする構成にする

AWS Backup と CloudFormation という道具立ては妥当に見えますが、バックアップが日次では最大 24 時間分のデータが失われ、RPO 1 時間をまったく満たせません。
また Amazon Security Lake はセキュリティログを一元化・分析するためのサービスであり、ディザスタリカバリの復旧手段そのものではありません。既に導入済みとされる検知的統制を厚くするだけで、設問が求める「正常な既知の状態への復旧」には寄与しません。

正解

B. AWS Backup で EBS ボリュームと S3 データを 1 時間ごとにバックアップするバックアッププランを設定し、インフラ構成を AWS CloudFormation テンプレートとして保管しておき、必要なときに迅速に環境を再構築できるようにする

AWS Backup のバックアッププランは cron 式で最小 1 時間間隔のスナップショットを取得でき、EBS ボリュームと Amazon S3 の両方を単一のプランで一元的に保護できます。これで RPO 1 時間を満たせます。
さらにインフラ構成を AWS CloudFormation テンプレートとして保管しておけば、汚染された環境を破棄してクリーンな環境を短時間で再作成し、そこへバックアップをリストアするという定石の復旧手順が取れます。
バックアップは世代として保持されるため暗号化される前の「正常な既知の状態」を選んで戻せる点が、ランサムウェア対策として決定的です（バックアップ自体を守るには Vault Lock による WORM 化も併用します）。

C. AWS Elastic Disaster Recovery を使って EC2 インスタンスをステージング環境へ継続的にレプリケートし、S3 データはクロスリージョンレプリケーションで複製する。復旧手順はランブック文書として運用チームが保管し、障害発生時に手動で実施する

AWS Elastic Disaster Recovery の継続的レプリケーションや S3 のクロスリージョンレプリケーションは、ランサムウェアが暗号化した結果もそのまま複製先へ運んでしまいます。世代を明示的に選んで戻す設計になっていないため、「正常な既知の状態へ復旧する」という要件に正面から応えられません。
加えて復旧手順が手動のランブック頼みで、環境を迅速に再構築するという要件に対しても IaC より不利です。

D. AWS Config ルールで、EBS ボリュームと S3 バケットのバックアップ頻度に関するコンプライアンス状態を監視する。あわせて Amazon EventBridge のスケジュールルールで 15 分ごとに AWS Lambda 関数を呼び出し、バックアップ実施状況を検証して Amazon SNS でセキュリティチームに通知する

AWS Config・EventBridge・Lambda・SNS の組み合わせは、バックアップが取得されているかを監視・通知する仕組みにすぎません。
設問が求めているのは統制を突破された後に環境を復旧する手段であり、この案は復旧データもクリーンな再構築手段も生み出しません。検知的統制は既に導入済みという前提とも重複しています。

これだけ覚える（記憶フック）
ランサムウェア復旧は「正常な既知の状態のバックアップ」＋「IaC で再構築」。継続レプリケーションは暗号化ごと運ぶ。
正解への思考ルート 問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。
要件 判断ポイント
RPO は 1 時間 許容できるデータ損失が 1 時間。日次バックアップでは最大 24 時間分が失われる
→選択肢（A）を消す
正常な既知の状態へ復旧する（ランサムウェア前提） 継続的レプリケーションは暗号化後のデータも複製する。世代が残るバックアップでなければ戻れない
→選択肢（C）を消す
アプリケーション環境を迅速に再構築する 汚染環境は捨てて作り直すのが定石。CloudFormation テンプレート（IaC）を保管しておけば短時間で再作成できる
→選択肢（B）が正解
求められているのは「復旧策（DR）」であること 監視・検知・通知はデータを復旧しない。設問では検知的統制は導入済みと明記されている
→選択肢（D）を消す
保護対象は EBS ボリュームと Amazon S3 の両方 AWS Backup は EBS と S3 を単一のバックアッププランで一元管理できる
→選択肢（B）が正解
ひっかけポイント
  • 選択肢（A）は AWS Backup と自動修復という「正しそうな部品」で構成されているが、頻度が日次という一語で RPO 要件を外している。バックアップ系の選択肢はまず頻度と RPO の突き合わせから読む
  • AWS Elastic Disaster Recovery は RPO 数秒という強力な選択肢に見えるが、ランサムウェアでは暗号化された状態を高速に複製するだけになりうる。障害・災害向けの DR とマルウェア対策の復旧は評価軸が違う
  • S3 のクロスリージョンレプリケーションは「バックアップ」ではない。複製先も同じように改ざん・暗号化された結果を受け取るため、バージョニングやオブジェクトロックなしに復旧根拠にはできない
  • 選択肢（D）の「15 分ごとに検証して通知」は数字が細かく緊張感もあるが、実施状況を見張るだけでバックアップを 1 つも作らない。監視系の語彙が並んだら復旧要件との対応を確認する
出題バリエーション 同じ知識が本番では条件を変えて出題されます。
問題文がこう変わったら 正解はこう変わる
「バックアップ自体をランサムウェアに削除・改ざんされないようにしたい」 AWS Backup Vault Lock（コンプライアンスモードで WORM 化）や S3 オブジェクトロックが正解軸に。
「RPO を数秒〜数分、RTO も数分にしたい（災害対策・データセンター移行）」 AWS Elastic Disaster Recovery による継続的レプリケーションが正解軸に変わる。
「バックアップを本番アカウントから隔離して保管したい」 別アカウントのバックアップボールトへクロスアカウントコピーする構成が正解軸に。
「暗号化されたファイルがいつ作られ始めたかを調べたい」 復旧策ではなく調査の話になり、CloudTrail・Amazon GuardDuty・Amazon Detective が正解軸に。
「S3 のオブジェクトを誤削除・上書きから守りたい（ランサムウェア以外）」 バージョニング＋MFA Deleteやライフサイクルによる旧バージョン保持が正解軸に。
関連サービスの解説 Amazon EC2
Amazon Simple Storage Service (Amazon S3)
AWS Backup
AWS CloudFormation
リファレンス この問題を解くために必要な知識を扱う公式ドキュメントです。
知識項目 公式ドキュメント
AWS Backup のバックアップ頻度（最小 1 時間） バックアッププランのオプションと設定 - AWS Backup
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 0%
No.6 解説
ある通販サイトは、Application Load Balancer 配下の Amazon EC2 インスタンス群でフロントエンドアプリケーションを稼働させている。EC2 インスタンスは Amazon EBS ボリュームを使用し、商品画像などの大容量メディアファイルは Amazon S3 に保存している。同社はランサムウェア対策として予防的統制および検知的統制をすでに導入済みである。

セキュリティチームは、既存の統制をランサムウェアが突破した場合に備え、環境を正常な既知の状態へ復旧できるディザスタリカバリ策を設計する必要がある。この策は、RPO 1時間を満たし、かつアプリケーション環境を迅速に再構築できるものでなければならない。

セキュリティエンジニアが推奨すべき解決策はどれか。
  • AWS Backup で EBS ボリュームと S3 データを日次でバックアップするバックアッププランを設定し、Amazon Security Lake でログを分析して自動修復ワークフローをトリガーする構成にする
  • AWS Backup で EBS ボリュームと S3 データを 1 時間ごとにバックアップするバックアッププランを設定し、インフラ構成を AWS CloudFormation テンプレートとして保管しておき、必要なときに迅速に環境を再構築できるようにする
  • AWS Elastic Disaster Recovery を使って EC2 インスタンスをステージング環境へ継続的にレプリケートし、S3 データはクロスリージョンレプリケーションで複製する。復旧手順はランブック文書として運用チームが保管し、障害発生時に手動で実施する
  • AWS Config ルールで、EBS ボリュームと S3 バケットのバックアップ頻度に関するコンプライアンス状態を監視する。あわせて Amazon EventBridge のスケジュールルールで 15 分ごとに AWS Lambda 関数を呼び出し、バックアップ実施状況を検証して Amazon SNS でセキュリティチームに通知する

次の問題


(会員限定)当問題の評価をお願いします。改善に活用します。
広告

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報