Question#34(SAP-C02)
ある会社は、Amazon API Gateway API と、その API メソッドのロジックを含む AWS Lambda 関数を使って、主要な API を AWS 上でホストしています。
- 会社の 社内アプリケーションは、この API を利用して基幹機能やビジネスロジックを実行しています。
- 会社の 顧客も API を使って自分のアカウントデータにアクセスします。
- さらに、一部の顧客は 単一の Amazon EC2 インスタンス上で稼働するレガシー API にもアクセスしています。
- DoS 攻撃の防御
- 脆弱性チェック
- 一般的なエクスプロイトからの防御
正解：C
- AWS WAF
- WAF は API Gateway との統合が可能で、レート制限や署名検知で DoS/DDoS 緩和や OWASP Top 10 攻撃（SQLi、XSS など）のブロックを実現します。
- しかし、EC2 上のレガシー API には直接組み込みできないため、API Gateway 経由にしない限り WAF で保護できません。
- Amazon Inspector
- Inspector は EC2 インスタンスやコンテナに対する脆弱性評価を行います。
- よって、単一 EC2 上の レガシー API に対して有効です。
- API Gateway + Lambda には適用できません（Lambda は Inspector のスコープ外）。
- Amazon GuardDuty
- GuardDuty は 継続的な脅威検出サービスであり、ログを解析して悪意のある API 呼び出しや侵入兆候を モニタリングします。
- ただし トラフィックをブロックする機能は持ちません。それは WAF やセキュリティグループ/ACL の役割です。
- したがって GuardDuty は「監視」目的で使うのが正しい。
コメント