SCS-C03 D3 ネットワークエッジのセキュリティ制御
31 問
SCS-C03 D5 機密データ・認証情報・鍵管理の保護
29 問
SCS-C03 D3 コンピュートワークロードのセキュリティ制御
29 問
SCS-C03 D6 組織のアカウント一元管理戦略
29 問
SCS-C03 D1 監視・アラート設計
28 問
SCS-C03 D1 ログ設計と収集基盤
27 問
SCS-C03 D2 セキュリティイベントへの対応
25 問
SCS-C03 D5 転送中データの保護
24 問
SCS-C03 D1 監視・ログ・アラートのトラブルシューティング
23 問
SCS-C03 D6 AWSリソースのコンプライアンス評価
23 問
SCS-C03 D6 安全で一貫したデプロイ戦略
22 問
SCS-C03 D3 インフラストラクチャセキュリティ
17 問
SCS-C03 D3 ネットワークセキュリティ制御の設計とトラブルシューティング
12 問
SCS-C03 D2 インシデント対応計画の設計とテスト
12 問
SCS-C03 D6 セキュリティ基盤とガバナンス
3 問
問1. ある企業はAWS Organizationsで20個のアカウントを運用している。SOCは、不審なAPI呼び出しや認証情報の悪用を各アカウントで迅速に検知し、Amazon GuardDuty、Amazon Inspector、Amazon Macieなどの検出結果とセキュリティ標準の準拠状況を委任管理者アカウントで優先順位付けしたい。検知エンジンと集約・可視化の役割を分離し、運用チームへの通知窓口を一つにする要件を満たす設計はどれか。
- 各アカウントでAmazon GuardDutyを有効化し、検出結果を各アカウントから個別に通知する。AWS Security Hub CSPMは使わず、サービスごとの画面で優先度を判断する
- 委任管理者アカウントでAWS Security Hub CSPMだけを有効化し、セキュリティ標準のチェック結果で不審なAPI呼び出しを直接検知して、GuardDutyの代わりに通知する
- AWS OrganizationsでGuardDutyとAWS Security Hub CSPMの委任管理者を設定し、対象アカウントでGuardDutyなどの検出サービスとSecurity Hub CSPMを有効化する。検出結果と準拠状況をSecurity Hub CSPMへ集約し、Amazon EventBridgeから中央通知を発行する
- 各アカウントでAWS Security Hub CSPMを有効化し、Amazon GuardDutyは重大なインシデント発生後だけ有効化する。平時はSecurity Hub CSPMの集約機能で脅威検知を代替する
問2. ある金融機関では、特定のS3バケットとプレフィックスに保存された顧客ファイルについて、個人情報と社内独自の顧客識別子を毎週定期的に検査し、オブジェクト単位の検査結果を監査証跡として保持する必要がある。S3全体をサンプリングして大まかな所在を把握する方式では監査要件を満たさない。追加の独自実装を最小限にする場合、最も適切な設計はどれか。
- Amazon Macieで対象バケットとプレフィックスを指定した定期的な機密データ検出ジョブを作成し、管理対象データ識別子とカスタムデータ識別子を設定して、機密データfindingと機密データ検出結果を監査に利用する
- Amazon Macieの自動機密データ検出だけを有効化し、日次のサンプリング分析結果を対象プレフィックス内の全オブジェクトを検査した証跡として扱う
- Amazon GuardDutyのS3保護を有効化し、S3データイベントの異常なアクセスを分析して、アクセス元と操作履歴から個人情報と独自識別子の所在を推定する
- AWS ConfigのマネージドルールとConformance PackでS3の暗号化や公開設定を評価し、非準拠バケット内のオブジェクトを機密データとして扱う
問3. ある金融機関は、AWS Organizations配下の複数アカウントで、S3のパブリックアクセス禁止やCloudTrail有効化などの統一要件を定期的に評価したい。評価結果はAWS Config Aggregatorで中央のセキュリティチームが横断調査できるようにする。違反時は業務影響を確認してから修復し、評価ルールの展開だけでは既存リソースを自動変更しないこと、運用負荷を抑えることが要件である。この条件に最も適した設計はどれか。
- 組織向けAWS Config Conformance Packに複数のマネージドルールと必要なカスタムルールをまとめ、対象アカウントとリージョンへ展開する。Conformance Packには自動修復を含めず、Config Aggregatorで結果を集約し、修復は別途承認付きのSystems Manager Automationなどに分離する
- 各アカウントでAWS Security Hub CSPMの標準コントロールだけを有効化し、そのfindingをConfig Aggregatorに集約する。Config Conformance Packは使わず、Security Hub CSPMのfindingをすべての設定要件の評価結果として扱う
- CloudTrailの管理イベントをS3に保存し、Athenaで日次分析して設定違反を判定する。違反を検出したLambdaから各アカウントのリソースを直接修正し、Config Conformance Packは導入しない
- Conformance Packにすべての評価ルールと自動修復アクションを一体化し、違反を検知した直後に管理者権限で設定を変更する。承認フローは設けず、評価結果は各アカウントで個別確認する