セキュリティとコンプライアンスの要点整理と想定問題

正解: D 【A（不正解）】 ？ 仮想サーバーの中で動く OS を最新に保つ作業です。 EC2 のゲスト OS の更新とパッチ適用は、お客様の責任と明記されている。 【B（不正解）】 ？ 預けるデータをどう区分し、どう守るかを決める作業です。 S3 のような抽象化サービスでも、データ管理とアセットの分類はお客様の責任である。 【C（不正解）】 ？ 誰に何をさせるかを決める作業です。 IAM での適切な権限設定は、どのサービスでもお客様の責任に残る。 【D（正解）】 ？ 建物・機器・ネットワークなど、サービスの土台を守る仕事です。 AWS は、サービスを実行するハードウェア、ソフトウェア、ネットワーク、施設を保護する責任を負う。

出典: AWS 責任共有モデル

正解: A 【A（正解）】 ？ クラウドの上に置いたものを守る、という意味の言葉です。 お客様の責任は「クラウドにおけるセキュリティ」と呼ばれ、範囲は選んだサービスで変わる。 【B（不正解）】 ？ クラウドそのもの（土台）を守る、という意味の言葉です。 これは AWS の責任を表す言葉で、インフラストラクチャの保護を指す。 【C（不正解）】 ？ お客様が AWS からそのまま受け継ぐ統制を指す言葉です。 物理統制や環境統制のように、お客様が AWS から完全に継承する統制を指し、お客様の責任範囲の呼び名ではない。 【D（不正解）】 ？ 施設の電源や空調など、物理的な環境に関する統制です。 環境統制は継承される統制の例で、お客様が担う範囲の呼び名ではない。

出典: AWS 責任共有モデル

正解: D 【A（不正解）】 ？ ソフトウェアの不具合や脆弱性を修正する作業です。 パッチ管理は AWS とお客様の両方が受け持つ「共有される統制」である。 【B（不正解）】 ？ 機器やソフトの設定を正しく保つ作業です。 構成管理も共有される統制で、AWS はインフラ機器、お客様は OS やアプリの構成を担う。 【C（不正解）】 ？ 環境を区画に分けて守る考え方です。 公式ページは、ゾーンセキュリティをお客様固有の統制の例に挙げている。 【D（正解）】 ？ データセンターの建物や設備にかかわる統制です。 公式ページは、継承される統制の例として物理統制と環境統制を挙げている。

出典: AWS 責任共有モデル

正解: C 【A（不正解）】 ？ 仮想サーバーの中の OS を更新する作業です。 ゲスト OS のパッチは、お客様が担当する部分である。 【B（不正解）】 ？ 自分たちが作ったプログラムの部品を更新する作業です。 お客様のアプリケーションのパッチは、お客様が担当する。 【C（正解）】 ？ サービスの土台側で見つかった不具合を直す作業です。 AWS はインフラストラクチャの不具合へのパッチ適用と修復に責任を負う。 【D（不正解）】 ？ OS の上で動かすソフトの設定を変える作業です。 OS の上に置くソフトの構成は、お客様が担う構成管理の範囲である。

出典: AWS 責任共有モデル

正解: C 【A（不正解）】 ？ 教育をすべて AWS に任せるという考え方です。 お客様の従業員の訓練は、お客様が行う部分とされている。 【B（不正解）】 ？ AWS からそのまま受け継ぎ、何もしなくてよいという考え方です。 意識向上とトレーニングは共有される統制で、お客様にも役割がある。 【C（正解）】 ？ それぞれの組織が、自分の人員を教育するという分担です。 公式ページは、AWS は AWS の従業員を、お客様は自社の従業員をトレーニングすると説明している。 【D（不正解）】 ？ お客様が AWS 側の教育を管理するという考え方です。 AWS の従業員の訓練は AWS の責任で、お客様が承認する仕組みではない。

出典: AWS 責任共有モデル

正解: D 【A（不正解）】 ？ セキュリティの仕事をすべて手放せるという考え方です。 責任共有モデルでは、クラウドにおけるセキュリティはお客様の責任である。 【B（不正解）】 ？ 施設の守りも利用者が用意するという考え方です。 物理統制は継承される統制で、お客様が手配するものではない。 【C（不正解）】 ？ 分担を個別交渉で決めるという考え方です。 分担は責任共有モデルとして示されており、個別交渉で決める仕組みとしては説明されていない。 【D（正解）】 ？ 責任の線引きがサービスごとに変わることを指摘する内容です。 お客様の責任は選んだサービスで変わるが、データ管理や IAM の権限設定などは常にお客様に残る。

出典: AWS 責任共有モデル

正解: C 【A（不正解）】 ？ 回線やスイッチなど機器そのものの手入れです。 ネットワーク機器などインフラの保護は AWS の責任である。 【B（不正解）】 ？ ディスクなどの機器が壊れたときの交換作業です。 ハードウェアの保護は AWS の責任に含まれる。 【C（正解）】 ？ 預けるデータと、誰が触れるかを決める仕事です。 抽象化サービスでも、データ管理と IAM での適切な権限設定はお客様の責任である。 【D（不正解）】 ？ 建物に入れる人を管理する仕事です。 施設の保護は物理統制で、お客様が AWS から継承する。

出典: AWS 責任共有モデル

正解: B 【A（不正解）】 ？ サービスの裏側にある OS を更新する作業です。 抽象化サービスでは、OS とプラットフォームは AWS が運用する。 【B（正解）】 ？ データをどう区分し、どう守るかを決める仕事です。 抽象化サービスでは、暗号化オプションを含むデータ管理、アセットの分類、IAM の権限設定がお客様の責任である。 【C（不正解）】 ？ サービスを動かす基盤ソフトの管理です。 抽象化サービスのプラットフォームは AWS が運用する。 【D（不正解）】 ？ サーバーやネットワークなど土台の運用です。 インフラストラクチャレイヤーは AWS が運用する。

出典: AWS 責任共有モデル

正解: C 【A（不正解）】 ？ 上の層を AWS、土台を利用者が受け持つ考え方です。 担当が逆である。インフラ機器の構成は AWS が保守する。 【B（不正解）】 ？ 設定作業を AWS に任せきりにする考え方です。 構成管理は共有される統制で、お客様にも担当部分がある。 【C（正解）】 ？ 土台の機器と、その上のソフトで担当を分ける考え方です。 AWS はインフラデバイスの構成を保守し、お客様はゲスト OS、データベース、アプリケーションの構成を担う。 【D（不正解）】 ？ 設定作業をすべて利用者が行う考え方です。 インフラ機器の構成はお客様の手の届かない範囲で、AWS が保守する。

出典: AWS 責任共有モデル

正解: A 【A（正解）】 ？ 利用者が作るアプリの事情で決まる統制という考え方です。 データのルーティングや区分、ゾーンセキュリティは、お客様固有の統制の例として挙げられている。 【B（不正解）】 ？ 利用者が AWS からそのまま受け継ぐ統制という考え方です。 継承される統制の例は物理統制と環境統制で、データの区分は含まれない。 【C（不正解）】 ？ 両者で同じ作業を分け合う統制という考え方です。 公式ページはデータの区分を共有される統制ではなく、お客様固有の統制として示している。 【D（不正解）】 ？ 要件づくりも作業も AWS が担う考え方です。 お客様のアプリに基づく統制は、お客様が実装する。

出典: AWS 責任共有モデル

正解: D 【A（不正解）】 ？ クラウド側の認証がそのまま利用者に及ぶという考え方です。 AWS の認証はインフラ側の証明であり、お客様の使い方まで準拠させるものではない。 【B（不正解）】 ？ 資料を取り寄せる仕組みを使えば足りるという考え方です。 Artifact は AWS の監査資料を入手する仕組みで、お客様の準拠を代わりに達成するものではない。 【C（不正解）】 ？ 法的な対応を AWS に任せる考え方です。 法令への準拠はお客様の責任と明記されている。 【D（正解）】 ？ 法令への対応は利用者が行い、AWS は手助けをする関係です。 公式ページは、適用される法律や規制への準拠はお客様の責任で、AWS は機能や文書、契約で支援すると説明している。

出典: AWS コンプライアンスプログラム／AWS Artifact とは

正解: A 【A（正解）】 ？ 権限の設定をだれが受け持つかに注目した考え方です。 S3 のような抽象化サービスでも、IAM などでの権限設定はお客様の責任である。 【B（不正解）】 ？ 運用を任せるサービスなら設定も AWS 任せという考え方です。 AWS が運用するのはインフラや OS、プラットフォームで、アクセス権限の設定はお客様に残る。 【C（不正解）】 ？ 機器の故障と同じように扱う考え方です。 これは設定の問題であり、ハードウェアの保護とは別の話である。 【D（不正解）】 ？ 責任を両者で折半する考え方です。 アクセス権限の設定は共有される統制ではなく、お客様の責任である。

出典: AWS 責任共有モデル

正解: D 【A（不正解）】 ？ 建物を守る警備の仕事です。 物理的な施設の保護は AWS の責任である。 【B（不正解）】 ？ 壊れた機器を取り替える作業です。 ハードウェアの保護は AWS の責任である。 【C（不正解）】 ？ 設備の電気や温度を保つ仕事です。 環境統制は、お客様が AWS から継承する統制である。 【D（正解）】 ？ 仮想サーバーの中身を最新に保つ作業です。 EC2 では、ゲスト OS とそこにデプロイしたソフトウェアの更新とセキュリティパッチはお客様の責任である。

出典: Amazon EC2 のセキュリティ／AWS 責任共有モデル

正解: B 【A（不正解）】 ？ どこから接続してよいかを決める設定です。 どの IP や EC2 から接続できるかは、お客様がセキュリティグループで決める。 【B（正解）】 ？ データの複製取りと、ソフトの修正を自動で行う作業です。 RDS はデータベースを自動でバックアップし、必須のパッチ適用をメンテナンスウィンドウ内に自動で行う。 【C（不正解）】 ？ データベースに入れる人を決める作業です。 DB エンジンの機能でログインできるユーザーを制御するのは、お客様である。 【D（不正解）】 ？ 預けるデータの扱いを決める作業です。 データの機密性に応じた扱いはお客様の責任である。

出典: Amazon RDS のよくある質問／Amazon RDS でのセキュリティ

正解: C 【A（不正解）】 ？ 壊れたディスクを取り替える作業です。 ハードウェアの保護は AWS の責任である。 【B（不正解）】 ？ データベースソフトの修正を当てる作業です。 RDS では必須のパッチ適用が自動でスケジュールされる。お客様はメンテナンスウィンドウを選ぶ。 【C（正解）】 ？ データベースへの入口を絞る設定です。 RDS では、どの IP アドレスや EC2 インスタンスが接続できるかをお客様がセキュリティグループで制御する。 【D（不正解）】 ？ データセンターに出入りした人の記録です。 施設の物理的な保護は AWS の責任である。

出典: Amazon RDS でのセキュリティ／Amazon RDS のよくある質問

正解: B 【A（不正解）】 ？ 利用者がサーバーの OS を直接更新する考え方です。 Lambda はランタイムにパッチを当てる運用の負担を取り除くと説明されている。 【B（正解）】 ？ ランタイムの修正を AWS 側が当てる仕組みです。 マネージドランタイムでは、Lambda が既定でセキュリティ更新を含むランタイム更新を自動で適用する。 【C（不正解）】 ？ 裏側のサーバーに入って作業する考え方です。 Lambda はサーバーを管理せずにコードを実行するサービスで、この作業はお客様の範囲ではない。 【D（不正解）】 ？ 一度作ったら古いままという考え方です。 Lambda はセキュリティ更新などでマネージドランタイムを最新に保つ。

出典: Lambda がランタイムバージョンの更新を管理する方法

正解: D 【A（不正解）】 ？ AWS 側が自動で入れ替える考え方です。 自動更新はマネージドランタイムの関数の話で、コンテナイメージは自分で作り直す。 【B（不正解）】 ？ 関数に割り当てる資源を変える操作です。 メモリの設定はランタイムの更新とは関係がない。 【C（不正解）】 ？ サポート窓口に作業を頼む方法です。 公式の手順は、お客様が新しいイメージを作って再デプロイすることである。 【D（正解）】 ？ イメージを作り直して入れ替える方法です。 コンテナベースの関数は、更新されたベースイメージから新しいイメージを作成し、関数を再デプロイする必要がある。

出典: Lambda がランタイムバージョンの更新を管理する方法

正解: D 【A（不正解）】 ？ 仮想サーバーなら OS も任せられるという考え方です。 EC2 のゲスト OS とソフトウェアの更新はお客様の責任である。 【B（不正解）】 ？ サービスによる違いはないという考え方です。 責任の範囲は使うサービスで変わる。抽象化サービスでは OS を AWS が運用する。 【C（不正解）】 ？ 物理サーバーを専有すれば任せられるという考え方です。 専有ホストはお客様専用の物理サーバーで EC2 インスタンスを動かす選択肢である。EC2 なので、ゲスト OS の更新はお客様の責任のままである。 【D（正解）】 ？ OS の手入れを AWS 側に任せられるサービスを選ぶ考え方です。 Lambda はマネージドランタイムを自動更新し、RDS は必須パッチを自動で適用する。EC2 ではゲスト OS の更新はお客様の責任である。

出典: AWS 責任共有モデル／Lambda がランタイムバージョンの更新を管理する方法／Amazon RDS のよくある質問／Amazon EC2 のセキュリティ／Amazon EC2 専有ホスト

正解: C 【A（不正解）】 ？ ワークロードの脆弱性を調べるサービスです。 Inspector はソフトウェアの脆弱性を見つけるもので、監査レポートは配布しない。 【B（不正解）】 ？ S3 の機密データを見つけるサービスです。 Macie は機密データの検出に使うもので、AWS の監査レポートは入手できない。 【C（正解）】 ？ AWS のセキュリティ・コンプライアンス文書を配るサービスです。 Artifact は ISO や PCI、SOC などのレポートをオンデマンドで提供する。 【D（不正解）】 ？ リソースの設定と変更履歴を記録するサービスです。 Config は自社リソースの設定を評価するもので、AWS の第三者監査レポートは扱わない。

出典: AWS Artifact とは

正解: C 【A（不正解）】 ？ 入手のたびに課金されるという説明です。 Artifact の文書は無料で提供される。 【B（不正解）】 ？ 有料の支援契約が前提という説明です。 Artifact の利用にサポートプランの条件は示されていない。 【C（正解）】 ？ 追加の費用がかからないという説明です。 公式ガイドは、AWS は Artifact の文書と契約を無料で提供すると説明している。 【D（不正解）】 ？ 長期の契約が前提という説明です。 公式ガイドに、そのような条件は書かれていない。

出典: AWS Artifact とは

正解: D 【A（不正解）】 ？ 複数のアカウントをまとめて管理するサービスです。 Organizations はアカウント管理の仕組みで、AWS との契約文書の承諾は Artifact で行う。 【B（不正解）】 ？ ソフトウェアのライセンスを管理するサービスです。 License Manager はライセンスの利用状況の管理に使うもので、AWS との契約は扱わない。 【C（不正解）】 ？ 社内で承認した構成を配るサービスです。 Service Catalog は承認済みの IT サービスを提供する仕組みで、契約の承諾はできない。 【D（正解）】 ？ AWS の監査資料と契約を扱うサービスです。 Artifact では、自分のアカウントや組織のアカウントについて、AWS との契約の確認・承諾・追跡ができる。

出典: AWS Artifact とは

正解: A 【A（正解）】 ？ AWS が対応する認証や規制を一覧にした公式ページです。 公式のプログラム一覧には、日本の FISC や ISMAP、PCI DSS、ISO 27001 などが掲載されている。 【B（不正解）】 ？ AWS のサービスの稼働状況を知らせる画面です。 Health Dashboard はサービスの障害や予定を確認する場所で、コンプライアンスの枠組みの一覧ではない。 【C（不正解）】 ？ 費用の推移を分析するツールです。 Cost Explorer はコストを分析するもので、規制への対応状況は確認できない。 【D（不正解）】 ？ 使う前に料金を試算するツールです。 料金見積りツールは費用の試算に使うもので、コンプライアンス情報は扱わない。

出典: AWS コンプライアンスプログラム

正解: B 【A（不正解）】 ？ 二つの役割を入れ替えた考え方です。 役割が逆である。AWS 側の資料を配るのが Artifact である。 【B（正解）】 ？ だれの準拠を示す資料かで分ける考え方です。 Artifact は AWS のインフラの準拠を示す資料を、Audit Manager はお客様の AWS 利用が準拠している証拠を集める。なお Audit Manager は新規のお客様には公開されなくなった（既存のお客様は引き続き使える）。 【C（不正解）】 ？ 二つは同じものだという考え方です。 公式ガイドは、二つの役割の違いを明確に説明している。 【D（不正解）】 ？ 使うだけで合格扱いになるという考え方です。 Audit Manager は証拠の収集を助けるが、コンプライアンス自体は評価しないと明記されている。

出典: AWS Audit Manager とは／AWS Artifact とは

正解: A 【A（正解）】 ？ 認証ごとに対象サービスを示した公式の一覧です。 各サービスの公式ドキュメントは、適用されるプログラムをこの一覧で確認するよう案内している。対象はサービスごとに異なる。 【B（不正解）】 ？ どのサービスも同じ扱いだという考え方です。 コンプライアンス要件はサービスごとに異なるため、対象かどうかを確かめる必要がある。 【C（不正解）】 ？ サードパーティ製品を探すカタログです。 Marketplace はサードパーティ製品を探す場所で、AWS サービスの認証範囲の一覧ではない。 【D（不正解）】 ？ アカウントでの操作の記録です。 CloudTrail は操作の記録で、サービスの認証範囲は分からない。

出典: コンプライアンスプログラムによる対象範囲内の AWS のサービス／Amazon EC2 のセキュリティ／Amazon RDS でのセキュリティ／AWS コンプライアンスプログラム

正解: D 【A（不正解）】 ？ ソフトウェアの脆弱性を調べるサービスです。 Inspector は脆弱性とネットワークの露出を調べるもので、ログから不審な活動を探すものではない。 【B（不正解）】 ？ S3 の機密データを見つけるサービスです。 Macie は S3 にある機密データの検出に使う。 【C（不正解）】 ？ AWS の監査レポートを入手するサービスです。 Artifact は監査資料の入手に使うもので、脅威は検出しない。 【D（正解）】 ？ AWS 環境への脅威を見つける検出サービスです。 GuardDuty は有効にすると、CloudTrail 管理イベント、VPC フローログ、DNS ログなどの基本データソースを自動で分析する。

出典: Amazon GuardDuty とは

正解: A 【A（正解）】 ？ ワークロードを継続的にスキャンする脆弱性管理サービスです。 Inspector は EC2、ECR のコンテナイメージ、Lambda 関数を自動で見つけ、新しい CVE の公表などに応じて再スキャンする。 【B（不正解）】 ？ ログなどから脅威を検出するサービスです。 GuardDuty は不審な活動を見つけるもので、ソフトウェアの CVE を一覧にするのは Inspector である。 【C（不正解）】 ？ 検出結果の根本原因を調べるサービスです。 Detective は調査を助けるもので、脆弱性のスキャンはしない。 【D（不正解）】 ？ リソースの設定の履歴とルール評価のサービスです。 Config は設定を評価するもので、ソフトウェアの脆弱性は調べない。

出典: Amazon Inspector とは

正解: A 【A（正解）】 ？ 複数のセキュリティサービスの結果を集めて整理するサービスです。 Security Hub は GuardDuty、Inspector、Macie などのシグナルを関連付け、重大な問題に優先順位を付ける。 【B（不正解）】 ？ 疑わしい活動の根本原因を調べるサービスです。 Detective は個別の検出結果を深く調査するためのもので、全体の集約と優先付けが主目的ではない。 【C（不正解）】 ？ AWS の監査レポートを配るサービスです。 Artifact は監査資料の入手に使うもので、検出結果は集めない。 【D（不正解）】 ？ S3 の機密データを見つけるサービスです。 Macie は検出結果を出す側のサービスで、他サービスの結果をまとめる役割ではない。

出典: Introduction to AWS Security Hub

正解: B 【A（不正解）】 ？ ソフトウェアの弱点を探すサービスです。 脆弱性の発見には役立つが、いま起きている採掘の動きを見つける仕組みではない。 【B（正解）】 ？ 有効にするだけで脅威の検出を始められるサービスです。 GuardDuty は有効にすると基本データソースの分析を自動で始め、EC2 での不正なクリプトマイニングを検出できる。 【C（不正解）】 ？ 大量通信による攻撃から守る仕組みです。 Shield は DDoS 攻撃への備えで、インスタンス内の不正な採掘は検出しない。 【D（不正解）】 ？ 通信の暗号化に使う証明書を管理するサービスです。 証明書の管理は通信を守るもので、不正な採掘の検出とは関係がない。

出典: Amazon GuardDuty とは

正解: D 【A（不正解）】 ？ AWS Shield の上位の DDoS 保護です。 Shield Advanced は有料のサブスクリプションで、申し込みが必要である。 【B（不正解）】 ？ 複数アカウントのファイアウォールを一元管理するサービスです。 Firewall Manager は設定の一元管理に使うもので、自動で無料適用される DDoS 保護ではない。 【C（不正解）】 ？ ワークロードの脆弱性を調べるサービスです。 Inspector は脆弱性管理のサービスで、DDoS 攻撃は防がない。 【D（正解）】 ？ AWS Shield の基本の DDoS 保護です。 すべての AWS のお客様は、Shield Standard の自動保護を追加料金なしで利用できる。

出典: AWS Shield Standard の概要

正解: B 【A（不正解）】 ？ 二つの役割を入れ替えた組み合わせです。 役割が逆である。CVE などの脆弱性を調べるのは Inspector である。 【B（正解）】 ？ 弱点の発見と、脅威の検出で役割を分ける組み合わせです。 Inspector はソフトウェアの脆弱性を、GuardDuty は不審・悪意のある活動を見つける。 【C（不正解）】 ？ S3 の機密データを見つけるサービスで両方を賄う考え方です。 Macie は S3 の機密データの検出に使い、どちらの目的にも合わない。 【D（不正解）】 ？ DDoS 対策のサービスで両方を賄う考え方です。 Shield は DDoS 攻撃からの保護で、脆弱性の発見や活動の監視は行わない。

出典: Amazon Inspector とは／Amazon GuardDuty とは

正解: C 【A（不正解）】 ？ 保存しているデータを守る暗号化です。 保管時の暗号化は、ストレージやデータベースに保存したデータを守るものである。 【B（不正解）】 ？ 複数の要素で本人確認する仕組みです。 多要素認証はサインインの本人確認で、データの暗号化ではない。 【C（正解）】 ？ 移動中のデータを守る暗号化です。 やり取りの途中のデータを TLS などで暗号化することを、転送時の暗号化という。 【D（不正解）】 ？ 必要最小限の権限だけを与える考え方です。 権限の与え方の原則で、通信の暗号化とは別の考え方である。

出典: Amazon RDS でのセキュリティ／Amazon VPC のインフラストラクチャセキュリティ

正解: A 【A（正解）】 ？ 暗号キーを作って管理するマネージドサービスです。 KMS は暗号化と署名に使うキーを作成・管理し、多くの AWS サービスと統合されている。キーの使用は CloudTrail で監査できる。 【B（不正解）】 ？ SSL/TLS 証明書を扱うサービスです。 ACM は証明書の発行や更新を扱うもので、データ暗号化キーの管理サービスではない。 【C（不正解）】 ？ パスワードや API キーなどの秘密情報を保管するサービスです。 Secrets Manager はシークレットの管理に使い、暗号化キーには KMS を推奨している。 【D（不正解）】 ？ S3 の機密データを見つけるサービスです。 Macie は機密データの検出に使うもので、キー管理はしない。

出典: AWS Key Management Service（デベロッパーガイド）／AWS KMS keys（キーの種類）／AWS Secrets Manager とは

正解: B 【A（不正解）】 ？ AWS のサービスが利用者に代わって作り、使うキーです。 AWS マネージドキーは、お客様がキーポリシーやローテーションを管理できない。 【B（正解）】 ？ 利用者が制御する専用の HSM を提供するサービスです。 CloudHSM はシングルテナントの HSM を提供し、キーやアルゴリズムをお客様が完全に制御できる。 【C（不正解）】 ？ SSL/TLS 証明書を管理するサービスです。 ACM は証明書の管理に使うもので、専用 HSM の提供ではない。 【D（不正解）】 ？ 設定値を一元的に保存する機能です。 Parameter Store は設定データを保存するもので、HSM は提供しない。

出典: AWS CloudHSM とは／AWS KMS keys（キーの種類）

正解: A 【A（正解）】 ？ SSL/TLS 証明書の発行・保存・更新を扱うサービスです。 ACM は統合された AWS サービスで使う SSL/TLS 証明書の作成、保存、更新の複雑さを引き受ける。 【B（不正解）】 ？ データ暗号化に使うキーを管理するサービスです。 KMS は暗号キーの管理に使うもので、証明書の発行や更新は扱わない。 【C（不正解）】 ？ 専用の HSM でキーを守るサービスです。 CloudHSM はキーの保管と暗号処理の装置で、証明書の自動更新の仕組みではない。 【D（不正解）】 ？ 認証情報などのシークレットを保管するサービスです。 Secrets Manager は、秘密鍵と証明書には ACM を推奨している。

出典: AWS Certificate Manager とは／AWS Secrets Manager とは

正解: D 【A（不正解）】 ？ 既定では暗号化されないという説明です。 現在はすべてのバケットに基本レベルの暗号化として SSE-S3 が適用される。 【B（不正解）】 ？ 暗号化に別料金が必要という説明です。 SSE-S3 による既定の暗号化は追加料金なしで使える。 【C（不正解）】 ？ 過去に保存したデータにも遡って適用されるという説明です。 自動で暗号化されるのは新しいアップロードだけで、既存のオブジェクトは自動では暗号化されない。 【D（正解）】 ？ 既定で暗号化が働くという説明です。 2023 年 1 月 5 日以降、S3 にアップロードされる新しいオブジェクトは、追加費用なしで SSE-S3 により自動で暗号化される。

出典: Amazon S3 デフォルトの暗号化のよくある質問

正解: A 【A（正解）】 ？ 利用者が作成し、所有・管理する KMS キーです。 カスタマーマネージドキーは、キーポリシーやローテーション、削除のスケジュールなどを完全に制御できる。 【B（不正解）】 ？ AWS のサービスが利用者のアカウントに作って使うキーです。 AWS マネージドキーは、ローテーションやキーポリシーの変更、削除の予定をお客様が管理できない。 【C（不正解）】 ？ AWS のサービスが所有し、管理するキーです。 AWS 所有のキーは、ポリシーの変更や監査、削除をお客様が行えない。 【D（不正解）】 ？ S3 が管理するキーによる暗号化です。 SSE-S3 は S3 が管理するキーを使う方式で、キーポリシーを自社で管理する目的には合わない。

出典: AWS KMS keys（キーの種類）

正解: B 【A（不正解）】 ？ メトリクスやログを監視するサービスです。 CloudWatch はリソースやアプリの状態の監視に使い、API の操作記録の中心は CloudTrail である。 【B（正解）】 ？ 操作の記録を残すサービスです。 CloudTrail は、ユーザー、ロール、AWS サービスが行ったアクションをイベントとして記録する。 【C（不正解）】 ？ リソースの設定と変更履歴を記録するサービスです。 Config は設定の状態を記録するもので、だれがどの API を呼んだかを記録するのは CloudTrail である。 【D（不正解）】 ？ 脆弱性を調べるサービスです。 Inspector は脆弱性管理のサービスで、操作の記録はしない。

出典: AWS CloudTrail とは

正解: C 【A（不正解）】 ？ 最初から長期間の記録を見られるという説明です。 イベント履歴の期間は 90 日である。長期の保存には証跡や CloudTrail Lake を使う。 【B（不正解）】 ？ 分析用の保存先が無料で使えるという説明です。 CloudTrail Lake のイベントデータストアやクエリには料金がかかり、自分で作成する必要がある。 【C（正解）】 ？ 最初から使える閲覧機能と、その期間です。 イベント履歴はアカウント作成時から使え、リージョン内の過去 90 日の管理イベントを見られる。閲覧に CloudTrail の料金はかからない。 【D（不正解）】 ？ 準備をしないと何も見えないという説明です。 証跡がなくても、イベント履歴で過去 90 日の管理イベントを見られる。

出典: AWS CloudTrail とは

正解: A 【A（正解）】 ？ 記録を自分の保存先に送り続ける方法です。 証跡は AWS の操作記録を S3 バケットに配信・保存し、Athena などで検索・分析できる。 【B（不正解）】 ？ 画面の内容を手作業で残す方法です。 イベント履歴は 90 日分で、手作業の保存は網羅性や改ざん防止の面で監査向きではない。 【C（不正解）】 ？ 数値の推移だけを残す方法です。 メトリクスは性能などの数値で、だれが何をしたかの記録にはならない。 【D（不正解）】 ？ 設定がルールに合うかを評価する機能です。 Config ルールは設定を評価するもので、操作記録の長期保管の仕組みではない。

出典: AWS CloudTrail とは

正解: A 【A（正解）】 ？ リソースの設定の履歴を記録し、ルールで評価するサービスです。 Config は設定と変更履歴を記録し、Config ルールでルール違反のリソースに非準拠の印を付ける。 【B（不正解）】 ？ API の操作を記録するサービスです。 変更の操作は記録できるが、設定がルールに合うかを評価する機能は Config が持つ。 【C（不正解）】 ？ AWS の監査レポートを入手するサービスです。 Artifact は AWS 側の資料を配るもので、自社リソースの設定は評価しない。 【D（不正解）】 ？ S3 の機密データを見つけるサービスです。 Macie はデータの検出に使うもので、セキュリティグループの履歴は扱わない。

出典: AWS Config とは

正解: A 【A（正解）】 ？ メトリクスとログを集めて監視するサービスです。 CloudWatch Logs にログを集め、メトリクスフィルターで数値化し、アラームでしきい値の超過を知らせられる。 【B（不正解）】 ？ リソースの設定を記録・評価するサービスです。 Config は設定の評価に使い、アプリのログからアラームを出す仕組みではない。 【C（不正解）】 ？ 環境を点検して改善を勧めるサービスです。 Trusted Advisor は推奨事項を示すもので、アプリのログは監視しない。 【D（不正解）】 ？ AWS の監査レポートを入手するサービスです。 Artifact は監査資料の入手に使い、ログの監視はしない。

出典: Amazon CloudWatch とは

正解: C 【A（不正解）】 ？ 操作の記録の一覧です。 操作の記録であり、各ユーザーの認証情報の状態をまとめたものではない。 【B（不正解）】 ？ 費用の分析結果です。 コストの情報であり、認証情報の状態は分からない。 【C（正解）】 ？ ユーザーごとの認証情報の状態をまとめた一覧です。 認証情報レポートは全ユーザーのパスワード、アクセスキー、MFA などの状態を CSV で示し、監査に使える。 【D（不正解）】 ？ AWS のサービスの稼働状況の画面です。 サービスの状態を示すもので、IAM ユーザーの情報は載っていない。

出典: AWS アカウントの認証情報レポートを生成する

正解: C 【A（不正解）】 ？ 複数の要素で本人を確かめる仕組みです。 サインインを強くする仕組みで、権限の範囲を決める考え方ではない。 【B（不正解）】 ？ 外部の ID 基盤の認証を使う仕組みです。 認証の方法の話で、与える権限の広さの原則ではない。 【C（正解）】 ？ 権限をできるだけ絞る考え方です。 IAM のベストプラクティスは、タスクの実行に必要なアクセス許可だけを付与する最小権限を求めている。 【D（不正解）】 ？ 需要に合わせて資源を増減できる性質です。 クラウドの利点の一つで、権限の考え方ではない。

出典: IAM でのセキュリティのベストプラクティス

正解: D 【A（不正解）】 ？ 一人ひとりに専用のポリシーを書き込む方法です。 インラインポリシーは 1 対 1 で管理が増え、複数に同じ権限を与える用途には向かない。 【B（不正解）】 ？ 最強の ID をみんなで使う方法です。 ルートユーザーは日常の作業に使わず、認証情報を共有しないことが推奨されている。 【C（不正解）】 ？ 同じ鍵を全員で使う方法です。 共有すると誰の操作か分からず、長期の認証情報を広げるため避けるべきである。 【D（正解）】 ？ 同じ役割の人をまとめて権限を与える方法です。 グループにポリシーを付けると、所属するユーザー全員に同じ権限を与えられ、異動もグループの出し入れで済む。

出典: 管理ポリシーとインラインポリシー／AWS アカウントのルートユーザーのベストプラクティス

正解: A 【A（正解）】 ？ 自社で書くポリシーで範囲を狭める方法です。 公式は、AWS 管理ポリシーから始め、用途に合わせたカスタマー管理ポリシーで権限を減らすことを勧めている。 【B（不正解）】 ？ AWS が用意したポリシーを編集する方法です。 AWS 管理ポリシーで定義されたアクセス許可は、お客様が変更できない。 【C（不正解）】 ？ すべての操作を許す権限に広げる方法です。 権限を広げる方向で、最小権限の考え方に反する。 【D（不正解）】 ？ 権限を何も与えない方法です。 必要な作業までできなくなり、業務が止まる。

出典: IAM でのセキュリティのベストプラクティス／管理ポリシーとインラインポリシー

正解: D 【A（不正解）】 ？ AWS が作成・管理する共通のポリシーです。 多くの ID に付けられる独立したポリシーで、ロールを消しても残る。 【B（不正解）】 ？ 自社で作る、独立したポリシーです。 複数の ID に付けられる独立したポリシーで、ロールの削除では消えない。 【C（不正解）】 ？ 組織のアカウントに上限を設けるポリシーです。 SCP は組織のアカウント単位で権限の上限を決めるもので、1 つのロールへの埋め込みではない。 【D（正解）】 ？ 1 つの ID に直接埋め込むポリシーです。 インラインポリシーはポリシーと ID が 1 対 1 で、ID を削除するとポリシーも削除される。

出典: 管理ポリシーとインラインポリシー

正解: B 【A（不正解）】 ？ ソフトウェアの弱点を探すサービスです。 Inspector は脆弱性管理に使うもので、IAM ポリシーは作らない。 【B（正解）】 ？ 実際の利用状況をもとにポリシーの案を作る機能です。 IAM Access Analyzer は CloudTrail に記録されたアクティビティを分析し、ロールが使ったサービスと操作に基づくポリシーを生成する。 【C（不正解）】 ？ AWS の監査資料を入手するサービスです。 Artifact は AWS 側の資料を配るもので、自社のポリシーの最適化はしない。 【D（不正解）】 ？ DDoS 攻撃から守る仕組みです。 Shield は DDoS 対策で、権限の絞り込みとは関係がない。

出典: IAM でのセキュリティのベストプラクティス

正解: D 【A（不正解）】 ？ 最も強い権限の鍵をサーバーに置く方法です。 ルートユーザーのアクセスキーは作らないことが強く推奨されている。 【B（不正解）】 ？ 長期の鍵をプログラムに書き込む方法です。 ワークロードには、長期の認証情報ではなくロールの一時的な認証情報を使うことが推奨されている。 【C（不正解）】 ？ 誰でも読める状態にする方法です。 データが誰にでも読めてしまい、最小権限に反する。 【D（正解）】 ？ インスタンスに IAM の権限を持たせる方法です。 EC2 などでは、AWS が IAM ロールの一時的な認証情報を配り、SDK がそれを使う。長期の認証情報を配る必要がない。

出典: IAM でのセキュリティのベストプラクティス／Amazon EC2 のセキュリティ

正解: A 【A（正解）】 ？ アカウントそのものを終わらせる手続きです。 スタンドアロンのアカウントを閉鎖するには、ルートユーザーの認証情報が必要である。 【B（不正解）】 ？ 仮想サーバーを立ち上げる操作です。 必要な権限を持つ IAM のユーザーやロールで行える。 【C（不正解）】 ？ アカウント内に新しい ID を作る操作です。 管理者権限を持つ IAM のユーザーやロールで行える。 【D（不正解）】 ？ データの保存先を作る操作です。 必要な権限を持つ IAM のユーザーやロールで行える。

出典: AWS アカウントのルートユーザー（IAM ユーザーガイド）

正解: A 【A（正解）】 ？ 最上位の ID で設定を直す方法です。 唯一の IAM 管理者が自分の権限を取り消した場合、ルートユーザーでポリシーを編集して復元できる。 【B（不正解）】 ？ 最初から環境を作り直す方法です。 既存のアカウントのまま、ルートユーザーで復旧できる。 【C（不正解）】 ？ 時間がたてば元に戻るという考え方です。 権限が自動で戻る仕組みは示されていない。 【D（不正解）】 ？ ほかの人の鍵を使う方法です。 不正な利用であり、行ってはならない。

出典: AWS アカウントのルートユーザー（IAM ユーザーガイド）

正解: B 【A（不正解）】 ？ 更新を条件に毎日の処理で使う方針です。 ルートユーザーは日常の作業に使わない。自動化には IAM ロールなどを使う。 【B（正解）】 ？ そもそも用意しないという方針です。 ルートユーザーは請求を含むすべてに完全にアクセスできるため、アクセスキーを作成しないことが強く推奨されている。 【C（不正解）】 ？ 鍵を皆で使い回す方針です。 ルートユーザーの認証情報は誰とも共有しないことが推奨されている。 【D（不正解）】 ？ コマンド操作に備えて用意する方針です。 プログラムから操作するときも、ルートのアクセスキーは作らず、aws login コマンドで自動ローテーションされる一時的な認証情報を使う方法が案内されている。

出典: AWS アカウントのルートユーザーのベストプラクティス

正解: C 【A（不正解）】 ？ 登録は自由だという説明です。 すべてのアカウントの種類で、ルートユーザーに MFA を設定する必要がある。 【B（不正解）】 ？ 一部のアカウントだけに求められるという説明です。 公式はすべての種類のアカウントでルートユーザーに MFA を求めている。 【C（正解）】 ？ 期限付きで登録が求められるという説明です。 スタンドアロン、管理、メンバーのすべての種類で、ルートユーザーには MFA の設定が必要で、35 日以内の登録が求められる。 【D（不正解）】 ？ 予備を持てないという説明です。 ルートユーザーには最大 8 台の MFA デバイスを登録でき、複数の登録が強く推奨されている。

出典: AWS アカウントのルートユーザーのベストプラクティス

正解: A 【A（正解）】 ？ 複数の担当者に届く宛先にする方法です。 公式は、ビジネスで管理されグループに転送されるアドレスを使い、担当者の不在や退職による対応遅れを防ぐよう勧めている。 【B（不正解）】 ？ 人の入れ替わりのたびに環境を作り直す方法です。 アカウントを作り直す必要はなく、宛先をグループのアドレスにすればよい。 【C（不正解）】 ？ 認証情報をすぐ見られる場所に置く方法です。 ルートユーザーの認証情報は誰とも共有しないことが推奨されている。 【D（不正解）】 ？ 毎日サインインして確認する方法です。 ルートユーザーは、それが必要なタスクにのみ使うことが推奨されている。

出典: AWS アカウントのルートユーザーのベストプラクティス

正解: B 【A（不正解）】 ？ 同じパスワードを使い回す方法です。 1 つ漏れるとすべてが危険になり、不正使用の防止に反する。 【B（正解）】 ？ メンバー側の最上位 ID の認証情報をなくす方法です。 ルートアクセスを一元化すると、メンバーアカウントのルートのパスワードやアクセスキーを削除でき、必要な特権タスクは一元的に実行できる。 【C（不正解）】 ？ 最上位の ID に長期の鍵を持たせる方法です。 ルートユーザーのアクセスキーは作成しないことが強く推奨されている。 【D（不正解）】 ？ 組織のポリシーで管理アカウントを縛る方法です。 SCP は管理アカウントのユーザーやロールには影響しない。

出典: AWS アカウントのルートユーザー（IAM ユーザーガイド）／AWS アカウントのルートユーザーのベストプラクティス／サービスコントロールポリシー (SCP)

正解: B 【A（不正解）】 ？ 外部の ID 基盤での認証を受け入れる仕組みです。 認証をどこで行うかの話で、要素を重ねる仕組みそのものではない。 【B（正解）】 ？ 二つ以上の要素で本人確認する仕組みです。 MFA では、認証情報とデバイスが生成する応答の両方がサインインに必要になる。 【C（不正解）】 ？ パスワードの長さや文字の種類を決める設定です。 パスワードを強くする設定で、別の要素を加えるものではない。 【D（不正解）】 ？ 権限を必要最小限に絞る考え方です。 認可の考え方で、本人確認の方法ではない。

出典: IAM でのセキュリティのベストプラクティス

正解: D 【A（不正解）】 ？ ユーザーの認証情報の状態を一覧にした資料です。 監査用の一覧で、アクセスを許可する仕組みではない。 【B（不正解）】 ？ 1 つの ID に埋め込む権限の文書です。 権限の書き方の一つで、外部の認証を使う仕組みではない。 【C（不正解）】 ？ アカウント作成時にできる、すべての操作ができる ID です。 日常の作業に使わない特別な ID で、社員のアクセス手段ではない。 【D（正解）】 ？ 外部の ID 基盤と AWS をつなぐ仕組みです。 人間のユーザーには、ID プロバイダーとのフェデレーションで一時的な認証情報を使わせることが推奨されている。

出典: IAM でのセキュリティのベストプラクティス

正解: C 【A（不正解）】 ？ ウェブやモバイルアプリの利用者向けの ID 基盤です。 Cognito は主に自社アプリの利用者の認証に使い、社員の複数アカウントへのアクセス管理には IAM アイデンティティセンターを使う。 【B（不正解）】 ？ リソースを別のアカウントと共有するサービスです。 RAM はリソースの共有に使うもので、社員のシングルサインオンは提供しない。 【C（正解）】 ？ ワークフォースのアクセスを一元管理するサービスです。 IAM アイデンティティセンターは、社員などを複数の AWS アカウントやアプリにつなぎ、アクセスを一元管理する。 【D（不正解）】 ？ パスワードなどのシークレットを保管するサービスです。 シークレットの保管に使うもので、サインインの一元化はしない。

出典: IAM Identity Center とは／IAM でのセキュリティのベストプラクティス

正解: C 【A（不正解）】 ？ 既存の ID を皆で使う方法です。 認証情報の共有は誰の操作か分からなくなり、避けるべきである。 【B（不正解）】 ？ 最上位の ID で作業する方法です。 ルートユーザーは日常の作業に使わないことが強く推奨されている。 【C（正解）】 ？ 別アカウントから権限を一時的に借りる方法です。 クロスアカウントのロールを使えば、各アカウントに IAM ユーザーを作らずに、一時的な認証情報でアクセスを委任できる。 【D（不正解）】 ？ 誰でも使える状態にする方法です。 誰でもアクセスできてしまい、必要な人だけに絞る目的に反する。

出典: IAM チュートリアル: AWS アカウント間の IAM ロールを使用したアクセスの委任

正解: B 【A（不正解）】 ？ 社員の AWS アカウントや業務アプリへのアクセスを管理するサービスです。 ワークフォース（社員）向けの仕組みで、一般の利用者の会員登録には Cognito が向く。 【B（正解）】 ？ ウェブやモバイルアプリ向けの ID プラットフォームです。 Cognito のユーザープールは、サインアップとサインイン、Google などのソーシャル ID プロバイダーとのフェデレーションを提供する。 【C（不正解）】 ？ AWS アカウントの中に一人ずつ ID を作る方法です。 IAM ユーザーは AWS を操作するための ID で、アプリの一般利用者の管理には使わない。 【D（不正解）】 ？ AWS で Active Directory を使うためのサービスです。 社内ディレクトリを使うためのもので、アプリの会員登録や Google でのサインインには Cognito が向く。

出典: Amazon Cognito とは

正解: D 【A（不正解）】 ？ あらかじめ決めた質問に答える方法です。 公式が推奨する MFA の種類として挙げられていない。 【B（不正解）】 ？ パスワードだけを強くする方法です。 長いパスワードは 1 つの要素のままで、MFA の代わりにはならない。 【C（不正解）】 ？ 同じ要素を繰り返す方法です。 同じ要素を繰り返しても、別の要素による確認にはならない。 【D（正解）】 ？ 偽サイトにだまされにくい種類の MFA です。 IAM のベストプラクティスは、可能な限りパスキーやセキュリティキーなどのフィッシング耐性のある MFA を勧めている。

出典: IAM でのセキュリティのベストプラクティス

正解: C 【A（不正解）】 ？ サインイン時に入力する使い捨ての数字です。 6 桁のコードは MFA デバイスが作る値で、アクセスキーではない。 【B（不正解）】 ？ TLS 通信で使う鍵です。 TLS 証明書の鍵であり、AWS の API を呼ぶための認証情報ではない。 【C（正解）】 ？ プログラムから AWS を操作するための長期の認証情報です。 アクセスキーは ID とシークレットの組で、AWS CLI や SDK から API を使うときに使う。 【D（不正解）】 ？ 保存データを暗号化するための鍵です。 データの暗号化に使う鍵で、AWS を操作する認証情報ではない。

出典: Trusted Advisor のセキュリティのチェック／AWS アカウントのルートユーザーのベストプラクティス

正解: A 【A（正解）】 ？ 認証情報などのシークレットを管理するサービスです。 Secrets Manager はハードコードした認証情報を実行時の取得に置き換え、自動ローテーションのスケジュールも設定できる。 【B（不正解）】 ？ 設定データを一元的に保存する機能です。 Parameter Store には認証情報のローテーション機能がなく、シークレットには Secrets Manager が勧められている。 【C（不正解）】 ？ 暗号キーを作成・管理するサービスです。 KMS は暗号キーの管理に使い、データベースのパスワードを保管・ローテーションするものではない。 【D（不正解）】 ？ SSL/TLS 証明書を管理するサービスです。 ACM は証明書の発行と更新に使い、データベースのパスワードは扱わない。

出典: AWS Secrets Manager とは／AWS Systems Manager Parameter Store

正解: D 【A（不正解）】 ？ 認証情報を保管し、ローテーションするサービスです。 シークレットごと、API コールごとに課金され、ローテーション不要の設定値には過剰である。 【B（不正解）】 ？ 専用の HSM で暗号キーを守るサービスです。 暗号キーの保管と処理に使うもので、設定値の管理には向かない。 【C（不正解）】 ？ AWS の監査レポートを入手するサービスです。 監査資料の入手に使うもので、設定値は保存できない。 【D（正解）】 ？ 設定データを名前付きで保存する機能の基本の階層です。 Parameter Store は AMI ID やエンドポイント URL などの設定データ向けで、標準階層は追加料金がかからない。

出典: AWS Systems Manager Parameter Store

正解: B 【A（不正解）】 ？ 組織のアカウントの権限に上限を設けるポリシーです。 SCP は操作の権限に上限を設けるもので、パスワードの決まりは設定できない。 【B（正解）】 ？ IAM ユーザーのパスワードの決まりをアカウント単位で決める設定です。 カスタムのパスワードポリシーで、最小文字数、文字の種類、有効期限などを指定できる。 【C（不正解）】 ？ 暗号キーを使える人を決める設定です。 キーへのアクセスを制御するもので、IAM ユーザーのパスワードの決まりではない。 【D（不正解）】 ？ 設定がルールに合うかを評価する機能です。 Config は評価や記録に使う。パスワードの条件そのものはパスワードポリシーで決める。

出典: IAM ユーザー用のアカウントパスワードポリシーを設定する

正解: B 【A（不正解）】 ？ 最上位の ID にも決まりが及ぶという説明です。 IAM のパスワードポリシーは、ルートユーザーのパスワードには適用されない。 【B（正解）】 ？ 有効期限の設定がいつから効くかの説明です。 有効期限は直ちに適用され、既存のパスワードが 90 日を超えているユーザーは次のサインインで変更が必要になる。 【C（不正解）】 ？ 鍵も一緒に止まるという説明です。 パスワードが期限切れでもコンソールに入れなくなるだけで、アクセスキーは引き続き使える。 【D（不正解）】 ？ 変更のときまで猶予があるという説明です。 次回変更時に効くのは文字数や文字種の要件で、有効期限は直ちに適用される。

出典: IAM ユーザー用のアカウントパスワードポリシーを設定する

正解: A 【A（正解）】 ？ 鍵の更新と棚卸しを続ける運用です。 長期の認証情報が必要な場合は、必要なときにキーを更新し、最後に使われた情報を使って安全に更新・削除することが勧められている。 【B（不正解）】 ？ 鍵をプログラムと一緒に保存する方法です。 コードに書いた認証情報は、コードを見られる人すべてに漏れるおそれがある。 【C（不正解）】 ？ 作ったまま放置する運用です。 不要になったキーの削除や、退職時などの更新が推奨されている。 【D（不正解）】 ？ 最上位の ID の鍵を使う方法です。 ルートユーザーのアクセスキーは作成しないことが強く推奨されている。

出典: IAM でのセキュリティのベストプラクティス／AWS Secrets Manager とは

正解: C 【A（不正解）】 ？ 大量通信による攻撃から自動で守る仕組みです。 ネットワーク層とトランスポート層の DDoS への保護で、SQL インジェクションのようなリクエストの中身は見分けない。 【B（不正解）】 ？ ワークロードの脆弱性を調べるサービスです。 弱点を見つけるサービスで、届いたリクエストを遮断はしない。 【C（正解）】 ？ ウェブへの HTTP(S) リクエストを見張るファイアウォールです。 WAF は ALB や CloudFront などへのリクエストを監視し、IP アドレスなどの条件で許可やブロックができる。SQL インジェクションなどの一般的な攻撃パターンもブロックできる。 【D（不正解）】 ？ サブネット単位で通信を許可・拒否する仕組みです。 IP アドレスでの拒否はできるが、HTTP リクエストの中身で SQL インジェクションを見分けることはできない。

出典: AWS WAF（デベロッパーガイド）／AWS WAF（製品ページ）

正解: C 【A（不正解）】 ？ リソースの設定を記録し評価するサービスです。 設定の評価はできるが、ファイアウォールのルールを組織全体に配る役割は Firewall Manager が担う。 【B（不正解）】 ？ セキュリティの検出結果をまとめるサービスです。 検出結果を集約して優先付けするもので、ファイアウォールのルールは配らない。 【C（正解）】 ？ 複数アカウントのファイアウォール設定を一元管理するサービスです。 Firewall Manager は保護を 1 回設定すれば、追加される新しいアカウントやリソースにも自動で適用する。 【D（不正解）】 ？ マルチアカウント環境をベストプラクティスで用意するサービスです。 ランディングゾーンの構築と管理に使う。WAF やセキュリティグループのルールの一元配布は Firewall Manager の役割である。

出典: AWS Firewall Manager（デベロッパーガイド）／AWS Control Tower とは

正解: B 【A（不正解）】 ？ インスタンス単位で許可する通信を決める仕組みです。 セキュリティグループは許可ルールだけで、拒否ルールは書けない。 【B（正解）】 ？ サブネット単位で許可と拒否のルールを書く仕組みです。 ネットワーク ACL はサブネットレベルで動き、許可ルールと拒否ルールの両方を書ける。 【C（不正解）】 ？ AWS の操作の許可・拒否を書く文書です。 API 操作の権限を決めるもので、ネットワークの通信は制御しない。 【D（不正解）】 ？ SSL/TLS 証明書を管理するサービスです。 証明書の管理に使うもので、通信の許可・拒否はしない。

出典: Amazon VPC のインフラストラクチャセキュリティ

正解: C 【A（不正解）】 ？ 行きと帰りを別々に許可する性質です。 これはステートレスなネットワーク ACL の性質である。 【B（不正解）】 ？ 番号順にルールを当てはめる評価方法です。 番号順の評価はネットワーク ACL の方式で、セキュリティグループはすべてのルールを評価する。 【C（正解）】 ？ 行きの許可を覚えて帰りも通す性質です。 セキュリティグループはステートフルで、返される通信は自動で許可される。 【D（不正解）】 ？ サブネット全体に効く範囲の説明です。 サブネット全体に適用されるのはネットワーク ACL で、セキュリティグループは関連付けたインスタンスに適用される。

出典: Amazon VPC のインフラストラクチャセキュリティ

正解: B 【A（不正解）】 ？ インスタンス単位で許可する通信を決める仕組みです。 IP アドレスやポートで許可を決めるもので、ドメイン名での制限や侵入防止の検査はしない。 【B（正解）】 ？ VPC の出入りの通信を検査するマネージドのファイアウォールです。 Network Firewall は VPC 向けのステートフルなファイアウォールと侵入検知・防止のサービスで、ドメインのリストで通信先を制限できる。 【C（不正解）】 ？ ウェブアプリへの HTTP(S) リクエストを見張るファイアウォールです。 CloudFront や ALB などに届くリクエストを守るもので、VPC から外へ出る通信全体の検査には使わない。 【D（不正解）】 ？ DDoS 攻撃から自動で守る仕組みです。 外からの大量通信による攻撃への保護で、外へ出る通信の制限はしない。

出典: What is AWS Network Firewall?／Amazon VPC のインフラストラクチャセキュリティ

正解: B 【A（不正解）】 ？ すべてのお客様に自動で付く基本の DDoS 保護です。 Standard は一般的なネットワーク層の攻撃を自動で緩和するが、専門チームの支援やコスト保護は含まない。 【B（正解）】 ？ 申し込んで使う、より手厚い DDoS 保護です。 Shield Advanced は高度な検出と緩和に加え、DDoS コスト保護を含む。ビジネスまたはエンタープライズのサポートプランの利用者は、SRT に 24 時間いつでも連絡できる。 【C（不正解）】 ？ ログなどから脅威を見つけるサービスです。 脅威の検出に使うもので、DDoS の緩和や料金の保護は行わない。 【D（不正解）】 ？ 脆弱性を調べるサービスです。 脆弱性管理のサービスで、DDoS 攻撃からは守らない。

出典: AWS Shield の特徴／AWS Shield Advanced の概要

正解: B 【A（不正解）】 ？ AWS のセキュリティ・コンプライアンス文書を入手するサービスです。 Marketplace の販売者の資料を入手できるが、製品そのものを購入・導入する場所ではない。 【B（正解）】 ？ サードパーティのソフトウェアを探して導入できるカタログです。 Marketplace には WAF、エンドポイント、ID 管理などのセキュリティ製品があり、探して試し、購入して導入できる。 【C（不正解）】 ？ 環境を点検し改善を勧めるサービスです。 推奨事項を示すもので、サードパーティ製品は販売しない。 【D（不正解）】 ？ AWS のサービスの稼働状況を知らせる画面です。 障害や予定を確認する場所で、製品の購入はできない。

出典: AWS Marketplace のセキュリティソリューション

正解: C 【A（不正解）】 ？ 費用の推移を分析するツールです。 コストの分析に使うもので、脆弱性の告知は載っていない。 【B（不正解）】 ？ AWS の監査レポートを入手するサービスです。 第三者監査のレポートなどを配るもので、脆弱性の告知の一覧ではない。 【C（正解）】 ？ AWS の製品の脆弱性について告知するページです。 セキュリティ速報は AWS と Amazon のサービスやソフトウェアの脆弱性に関する告知を掲載している。 【D（不正解）】 ？ サードパーティ製品のカタログです。 製品を探す場所で、AWS の脆弱性の告知は載っていない。

出典: AWS セキュリティ速報

正解: D 【A（不正解）】 ？ セキュリティの最新情報を発信する公式ブログです。 新機能や実践例の紹介が中心で、個別のトラブル解決の記事集ではない。 【B（不正解）】 ？ AWS の監査レポートを入手するサービスです。 監査資料の入手に使うもので、トラブル解決の記事はない。 【C（不正解）】 ？ AWS が対応する認証や規制の一覧です。 コンプライアンスの枠組みを示すページで、接続トラブルの解決方法は載っていない。 【D（正解）】 ？ よく寄せられる質問と解決方法をまとめた公式の記事集です。 re:Post の情報センターには、よくある質問やリクエストを取り上げた AWS 公式ナレッジセンターの記事と動画がある。

出典: AWS re:Post 情報センター（ナレッジセンター）

正解: C 【A（不正解）】 ？ サードパーティ製品のカタログです。 製品を探す場所で、AWS のセキュリティの考え方をまとめたサイトではない。 【B（不正解）】 ？ サポートのケースを作り管理する場所です。 問い合わせの窓口で、セキュリティ情報の入口をまとめたサイトではない。 【C（正解）】 ？ AWS クラウドのセキュリティ情報をまとめた公式サイトです。 AWS クラウドセキュリティのページは、セキュリティサービス、コンプライアンス、ブログ、脆弱性の報告などへの入口をまとめている。 【D（不正解）】 ？ 使う前に料金を試算するツールです。 費用の試算に使うもので、セキュリティ情報はまとめていない。

出典: AWS クラウドセキュリティ

正解: C 【A（不正解）】 ？ 環境を点検し改善を勧めるサービスです。 自分のアカウントの点検結果を示すもので、ブログ記事ではない。 【B（不正解）】 ？ AWS の監査レポートを入手するサービスです。 監査資料を配るもので、新機能の紹介記事は載っていない。 【C（正解）】 ？ セキュリティの情報を発信する AWS の公式ブログです。 AWS Security Blog は AWS のセキュリティに関する最新情報やベストプラクティスを発信している。 【D（不正解）】 ？ AWS のサービスの稼働状況を知らせる画面です。 障害や予定の通知で、ブログ記事ではない。

出典: AWS Security Blog

正解: B 【A（不正解）】 ？ 通常の技術的な問い合わせ窓口です。 公式記事は、AWS サポートでは不正行為の報告に対応できないと説明している。 【B（正解）】 ？ AWS のリソースの不正利用を受け付ける窓口です。 AWS リソースからのポートスキャンなどの不正なネットワーク活動は、不正行為報告フォームで Trust & Safety に報告する。 【C（不正解）】 ？ 自分のリソースを DDoS から守る有料の保護です。 自社の保護策であり、相手の不正利用を AWS に報告する方法ではない。 【D（不正解）】 ？ 自社の検出結果をまとめるサービスです。 自社環境の結果を集める仕組みで、AWS への不正利用の報告窓口ではない。

出典: AWS リソースの不正行為を報告する方法

正解: B 【A（不正解）】 ？ 支払いの予定を知らせる項目です。 Trusted Advisor のセキュリティのチェックには含まれない。 【B（正解）】 ？ 最上位の ID の本人確認の強さを見る項目です。 セキュリティのチェックに「ルートアカウントの MFA」があり、MFA が有効でないと警告する。 【C（不正解）】 ？ 利用者の体感速度を測る項目です。 セキュリティのチェックにこのような項目はない。 【D（不正解）】 ？ 働き方を見る項目です。 AWS 環境の点検とは関係がない。

出典: Trusted Advisor のセキュリティのチェック

正解: A 【A（正解）】 ？ 環境を点検して改善点を示すサービスの項目です。 Trusted Advisor は、特定のポートへの無制限アクセス（0.0.0.0/0）を許可するルールをチェックする。 【B（不正解）】 ？ AWS の監査資料を入手するサービスです。 AWS 側の資料で、自社のセキュリティグループは点検しない。 【C（不正解）】 ？ S3 の機密データを見つけるサービスです。 S3 のデータが対象で、セキュリティグループは調べない。 【D（不正解）】 ？ 費用の推移を分析するツールです。 コストの分析で、通信の開放状況は分からない。

出典: Trusted Advisor のセキュリティのチェック

正解: D 【A（不正解）】 ？ 全機能が使えるという説明です。 すべてのチェックと API は、ビジネスサポート+、エンタープライズサポートなどの上位プランで使える。 【B（不正解）】 ？ まったく使えないという説明です。 ベーシックサポートでも一部のチェックは使える。 【C（不正解）】 ？ 更新が自動で行われるという説明です。 ベーシックサポートでは自動更新は使えず、セキュリティのチェックは手動で更新する。 【D（正解）】 ？ 使える範囲と更新の仕方についての説明です。 ベーシックサポートでは、サービス制限の全チェックと、セキュリティ・耐障害性の選ばれたチェックを使え、セキュリティのチェックは手動で更新する。

出典: AWS Trusted Advisor（AWS サポートユーザーガイド）

正解: A 【A（正解）】 ？ よく使われるコード置き場への鍵の露出を調べる項目です。 このチェックは、一般に露出したアクセスキーを人気のコードリポジトリで調べる。ただし検出を保証するものではなく、キーの安全はお客様の責任である。 【B（不正解）】 ？ ソフトウェアの脆弱性を調べるサービスです。 インスタンスの脆弱性が対象で、公開リポジトリの鍵の露出は調べない。 【C（不正解）】 ？ S3 にあるデータを調べるサービスです。 自社の S3 が対象で、外部の公開リポジトリは調べない。 【D（不正解）】 ？ DDoS 攻撃から守る仕組みです。 大量通信への保護で、鍵の露出は検出しない。

出典: Trusted Advisor のセキュリティのチェック

正解: D 【A（不正解）】 ？ アクセスキーの更新状況を見る項目です。 アクセスキーの更新が対象で、バケットの公開状態は見ない。 【B（不正解）】 ？ ディスクの複製の公開状態を見る項目です。 EBS のスナップショットが対象で、S3 バケットは見ない。 【C（不正解）】 ？ 最上位の ID の MFA を見る項目です。 ルートユーザーの MFA が対象で、S3 の公開状態は見ない。 【D（正解）】 ？ バケットのアクセス許可の開き具合を見る項目です。 このチェックは、オープンアクセス許可を持つバケットや、認証された AWS ユーザーへのアクセスを許すバケットを調べる。

出典: Trusted Advisor のセキュリティのチェック