AWS認定資格 WEB問題集＆徹底解説セキュリティ専門知識（SCS）
各問題の解説にある「これだけ覚える（記憶フック）」を一覧にしました。問題名をタップすると、問題と解説を開けます。復習や試験直前の総ざらいにご活用ください。
全問：400 件
（うち 20 件を表示）
問題
記憶フック
GuardDuty の検出結果を「掘る」なら Detective。隔離や Deny は封じ込めであって調査ではない。
外部 IdP の権限は IAM ロールで受ける。フェデレーテッドユーザーは IAM グループには入れない。
SES で TLS 必須化は設定セットの TlsPolicy=Require。既定は「できれば TLS」で相手次第。
NACL はステートレス、SG はステートフル。カスタム NACL は戻り用のエフェメラルポート許可を忘れずに。
プライベートで SSM は「エージェント＋ロール＋3 つのエンドポイント」。通信は 443、22 番は不要。
ランサムウェア復旧は「正常な既知の状態のバックアップ」＋「IaC で再構築」。継続レプリケーションは暗号化ごと運ぶ。
キー漏えいは「止める」だけで終わらせない。全リージョンの CloudTrail で悪用を洗い、不正リソースを消すまでが対応。
「どのインスタンスに何が入っているか」は Systems Manager Inventory。当てるのは Patch Manager。
経路を縛るのはバケットポリシーの Deny。エンドポイントを作るだけでは他の経路が開いたまま。
KMS キーは待機期間中なら取り消せる（CancelKeyDeletion）。期間が過ぎたら誰にも復元できない。
SG 参照は「同一リージョンのピアリング」限定。リージョンをまたいだら CIDR で開ける。
API 呼び出しの記録は CloudTrail、全リージョンは「証跡 1 本」。リージョンごとに作るのは運用負荷の罠。
「検知して通知」は EventBridge ルール＋SNS。Config は構成、Trusted Advisor は助言で、どちらも即時通知の主役ではない。
Vault Lock は「開始 → 24 時間の検証期間 → 完了」。ロック前なら Abort でいつでもやり直せる。
許可セットのカスタマー管理ポリシーは「各アカウントに同名・同パスで先に置く」。無ければ割り当ては失敗する。
GuardDuty の IP リストを足す・消すには、SLR へ書き込む IAM 権限が要る。フルアクセスだけでは名前変更と無効化止まり。
「検知は Config、通知と処理の分岐は SNS」。1 つのトピックにメールと Lambda を並べれば同時実行。
一時認証情報の漏えいは「セッションの取り消し」。ロールを外しても、配られた認証情報は期限まで生き続ける。
古い端末だけ TLS が切れたら、まず ALB のセキュリティポリシーを疑う。全滅ならネットワークか証明書。
DDoS 耐性は「エッジで受け、追跡させず、動的はキャッシュしない」。WAF は S3 には付かない。
残り 380 件の記憶フックはプレミアム会員限定です
非会員は問20まで、無料会員は問40までの記憶フックを表示できます。プレミアム会員なら全問の記憶フックをまとめて見返せます（1 時間無料でお試しいただけます）。