WEB問題集
次の Amazon GuardDuty 検出結果の一部を確認しました。
{
"schemaVersion": "2.0",
"accountId": "111122223333",
"region": "ap-northeast-1",
"type": "CryptoCurrency:EC2/BitcoinTool.B!DNS",
"resource": { "resourceType": "Instance" },
"severity": 8.0,
"title": "EC2 instance is querying a domain associated with cryptocurrency-related activity."
}この検出結果の重要度区分と型名の解釈として正しいものはどれですか。
解説
【正解: B】の理由
GuardDuty の重大度は 1.0〜10.0 で、7.0〜8.9 が High、9.0〜10.0 が Critical なので 8.0 は High で、リソースが侵害され不正に使われていることを示します。型名のうち CryptoCurrency は脅威の目的、EC2 は攻撃対象の候補となったリソース種別を表します。末尾の DNS は、EC2 インスタンスがビットコインに関連する既知のドメインと通信していることを示し、暗号通貨関連の不審な通信と読み取れます。
【他選択肢が違う理由】
- A: 4.0〜6.9 が Medium で 8.0 は High です。EC2 は攻撃対象のリソース種別です。
- C: Critical は 9.0〜10.0 で 8.0 は High です。値が大きいほどリスクが高い意味です。
- D: 重大度は 1.0〜10.0 の範囲で、8.0 は Low ではなく High に分類されます。
【参考】
ある企業は AWS Organizations の全アカウントの API アクティビティを、改ざん検知が可能な形で単一の場所に集約し、後からクエリできるようにしたいと考えています。次の候補から該当するものだけを選び、実施すべき順に 3 ステップを並べてください（使用しない候補があります）。
解説
【正しい順序】
- ステップ 1: 管理アカウント（または委任管理者）で AWS CloudTrail の組織の証跡を作成する。
- ステップ 2: ログファイル検証を有効化し、改ざん検知用のダイジェストファイルを生成する。
- ステップ 3: ダイジェストファイルでログの整合性を確認できる状態にしたうえで、中央のログアーカイブ用 S3 バケットに配信されたログを Amazon Athena でクエリする。
【ポイント】
組織の証跡は管理アカウントか委任管理者だけが作成でき、組織に加わったアカウントも自動で記録されます。次に整合性の検証を有効にすると、署名付きのダイジェストファイルが配信され、変更や削除を検出できます。その状態の中央 S3 バケットのログを最後に Athena でクエリします。個別作成は新規アカウントに及ばず、CloudTrail の無効化や S3 サーバーアクセスログだけでは改ざん検知できる形で集約できません。
【参考】
あるセキュリティ担当者が、単一の AWS アカウントで複数のリージョンにわたり Amazon GuardDuty を運用しています。GuardDuty の detector（検出機能）リソースの性質として、最も適切なものはどれですか。
解説
【正解: A】の理由
GuardDuty はリージョンレベルのサービスで、あるリージョンで有効にするとアカウントはディテクター ID に関連付けられます。この ID はそのリージョンのアカウントに固有で、別のリージョンで有効にすると別の ID になります。検出結果の管理や保護プランの設定など、GuardDuty の API 操作はこのディテクター ID を使って実行されるため、複数リージョンを守るにはリージョンごとに GuardDuty を有効化します。
【他選択肢が違う理由】
- B: 別のリージョンで有効にすると別のディテクター ID になり、1 つで全リージョンは有効になりません。
- C: 基本データソースは独立したストリームで取り込むため、ログの事前有効化は不要です。
- D: detector は IAM ロールではなく、リージョンごとの GuardDuty のリソースです。
【参考】
{
"source": ["aws.s3"],
"detail-type": ["AWS API Call via CloudTrail"],
"detail": {
"eventSource": ["s3.amazonaws.com"],
"eventName": ["PutBucketPolicy", "DeleteBucketPolicy"]
}
}解説
【正解: D】の理由
CloudTrail は AWS サービス API へのリクエストを、detail-type が AWS API Call via CloudTrail のイベントとして EventBridge に送ります。このパターンは eventSource を s3.amazonaws.com、eventName を PutBucketPolicy と DeleteBucketPolicy に限定しているので、S3 バケットポリシーの設定か削除が記録されたときだけ一致します。
【他選択肢が違う理由】
- A: eventName がポリシーの設定と削除に限られ、GetObject のイベントは一致しない。
- B: eventName で 2 つの API に絞っており、任意の API 呼び出しには一致しない。
- C: Insights イベントは detail-type が異なる別の種類で、このパターンには一致しない。
【参考】
ある企業は AWS Organizations で多数のアカウントを運用しており、各アカウントのセキュリティ検出結果を単一の場所に集約し、相関分析できるようにしたいと考えています。要件を満たす対応を 2 つ選択してください。
解説
【正解: B / D】の理由
Security Hub CSPM は複数の AWS サービスの検出結果を消費・集約・整理するサービスです。管理者アカウントは組織の委任管理者として機能でき、クロスリージョン集約を有効にするとリンクされたリージョンの検出結果がホームリージョンに集まります（B）。GuardDuty は同じアカウント・リージョンで Security Hub CSPM が有効なら全検出結果を送信し、Macie の検出結果も取り込まれるため、単一の場所で相関できます（D）。
【他選択肢が違う理由】
- A: CSV の手作業による突合は自動の集約・相関にならず、大規模組織では運用が破綻します。
- C: CloudTrail は API コールの履歴を記録するサービスで、検出結果の集約基盤ではありません。
- E: Trusted Advisor はベストプラクティスに基づく推奨を出すサービスで、集約先ではありません。