SAP-C02-016 · 理解確認
理解確認：ネットワークセキュリティコントロールの設計
単一選択 12 / 複数選択 2 / 穴埋め 0 · 14問
この理解確認の目的
経路・リソース・サブネット・検査・組織ガバナンスを分離し、要件に合うネットワークセキュリティ制御を選べるか確認します。
アプリケーションサブネットからすべてのインターネット向けトラフィックをAWS Network Firewallで検査したい。ファイアウォールとルールグループはすでに作成済みだが、トラフィックがファイアウォールを通過していない。最初に確認すべきものはどれか。
B. Firewall ManagerでAWS Network Firewall ポリシーを配布し、トラフィック経路は現在のままにする
C. ステートレスルールグループでステートフルエンジンへの転送を追加し、ルートテーブルは変更しない
D. ルートテーブルがファイアウォールエンドポイントへトラフィックを送っているか確認する
答えと解説
答え：D
AWS Network Firewallは作成しただけではトラフィック経路へ入りません。ルートテーブルで検査対象トラフィックをファイアウォールエンドポイントへ誘導する必要があります。
EC2インスタンスのセキュリティグループでクライアントからのTCP 443 インバウンドが許可され、接続が成立した。応答トラフィックについて最も適切な説明はどれか。
B. 応答方向にもクライアントのエフェメラルポートを対象としたセキュリティグループルールを個別定義する必要がある
C. セキュリティグループの状態追跡はインバウンドだけに適用され、応答はネットワークACLだけで判断される
D. 応答トラフィックは新規接続として評価されるため、アウトバウンドにもTCP 443を定義する必要がある
答えと解説
答え：A
セキュリティグループはステートフルです。許可された接続に対する応答を独立した逆方向ルールとして設計する必要はありません。
ネットワークACLにインバウンドルール 100 ALLOW 0.0.0.0/0、ルール 200 DENY 203.0.113.0/24 がある。203.0.113.10からのトラフィックについて正しいものはどれか。
B. 最も大きいルール番号から評価するためルール 200の拒否が適用される
C. ルール 100で先に一致するため許可される
D. より具体的なCIDRが優先されるためルール 200の拒否が適用される
答えと解説
答え：C
ネットワークACLはルール番号の小さい順に評価し、最初に一致したルールで処理を決定します。ルートテーブルの最長プレフィックス一致とは異なります。
プライベートサブネット内のサーバーに対するネットワークACLでインバウンド HTTPSを許可したが、クライアントへの応答が失敗する。セキュリティグループは正しい。ネットワークACLで特に確認すべきものはどれか。
B. アウトバウンドでクライアント宛TCP 443だけを許可する
C. インバウンドでクライアントのエフェメラルポート 範囲を追加許可する
D. アウトバウンド側で応答先となるクライアントのエフェメラルポート 範囲を許可する
答えと解説
答え：D
ネットワークACLはステートレスです。クライアント→サーバーのHTTPS リクエストに対するサーバー→クライアント応答ではアウトバウンド側にクライアント エフェメラルポートへの許可が必要です。
アプリケーションサーバーは、Application Load BalancerからのTCP 8080だけを受信させたい。IPアドレス変更の影響を受けにくいリソース単位の制御として最も適切なのはどれか。
B. アプリケーションサーバーのセキュリティグループでALB サブネットのCIDRを送信元として許可する
C. アプリケーションサブネットのネットワークACLでALB サブネット CIDRからTCP 8080を許可する
D. AWS Network FirewallのステートフルルールでALB サブネットからアプリケーションサブネットへのTCP 8080を許可する
答えと解説
答え：A
リソース単位の許可関係でIP変更の影響を避けたい場合はセキュリティグループ参照が最も直接的です。
既知の悪性CIDRからのトラフィックを、あるサブネット内のすべてのリソースに対して明示的に拒否したい。最も直接的な制御はどれか。
B. ネットワークACLで悪性CIDRをサブネット単位に拒否する
C. ルートテーブルへ悪性送信元 CIDRのブラックホールルートを追加する
D. AWS Network Firewallへステートフル拒否ルールを作成してサブネットトラフィックを経由させる
答えと解説
答え：B
「サブネット単位」「特定CIDRを明示的な拒否」という要件に最も直接対応するのはネットワークACLです。AWS AWS Network Firewallでもブロックは可能ですがトラフィック誘導まで必要になります。
VPCから外部へのトラフィックについて、ドメインベースの フィルタリングと侵入防止を行いたい。最も適切な制御はどれか。
B. ネットワークACLで既知の送信先CIDRを制御し、ドメインや侵入シグネチャは検査しない
C. AWS Network Firewallでドメインフィルタリングと侵入防止を行う
D. AWS WAFを公開ALBへ関連付け、VPCから外部へ出る一般トラフィックも同じ経路で検査する
答えと解説
答え：C
高度なフロー / ドメイン / パケット検査が必要な場合はAWS Network Firewallを評価します。
AWS Network Firewallで、パケット単位の簡易条件に一致したトラフィックだけをフローコンテキストを使った詳細検査へ渡したい。最も適切な処理はどれか。
B. ステートレスエンジンで一致トラフィックをPassし、ステートフル検査は実行しない
C. ステートレスエンジンで一致トラフィックを破棄してからステートフルエンジンへイベントだけ送る
D. ステートレスエンジンのアクションでステートフルルールエンジンへ転送する
答えと解説
答え：D
AWS Network Firewallではステートレスルールのアクションからステートフルルールエンジンへトラフィックを転送し、フローコンテキストを利用した検査へ進められます。
ステートフルルールを使用するAWS Network Firewallで、リクエストはAZ-Aのファイアウォールエンドポイントを通るが応答はAZ-Bのファイアウォールエンドポイントを通っている。主な問題はどれか。
B. ステートフルフロー状態はAZ間のファイアウォールエンドポイントで自動共有されるため問題ない
C. Transit Gatewayを利用していればファイアウォールエンドポイントのAZはステートフル検査に影響しない
D. 応答トラフィックはファイアウォール内部で自動的にリクエストと同じエンドポイントへ再ルーティングされる
答えと解説
答え：A
ステートフル検査では関連する双方向トラフィックを同じファイアウォールエンドポイントへ通す対称ルーティングが重要です。
AWS Organizations配下の多数アカウントについて、セキュリティグループの過剰に広いルールを継続監査し、組織共通ポリシーとして管理したい。最も適切なのはどれか。
B. AWS Firewall Managerのセキュリティグループポリシーを利用する
C. Security Hub CSPMのセキュリティ標準だけでセキュリティグループルールを組織共通ポリシーとして配布する
D. AWS Network Firewallのステートフルルールグループから各アカウントのセキュリティグループルールを直接管理する
答えと解説
答え：B
Organizations配下のセキュリティグループを共通ポリシーとして中央監査・統制する要件にはFirewall Managerのセキュリティグループポリシーが適します。
セキュリティグループとネットワークACLについて正しいものを3つ選択してください。
B. ネットワークACLはサブネット単位で適用される
C. セキュリティグループは明示的な拒否ルールを持つ
D. ネットワークACLは許可と拒否の両方を定義できる
E. ネットワークACLは接続状態に基づいて対応を自動許可する
答えと解説
答え：A / B / D
セキュリティグループはステートフルな許可制御、ネットワークACLはサブネット単位のステートレスな許可 / 拒否制御です。
AWS Network FirewallとAWS Firewall Managerの責任について正しいものを3つ選択してください。
B. AWS Network Firewallはトラフィック検査を担当する
C. AWS Network Firewallはステートレスルールとステートフルルールを使ってトラフィックを検査できる
D. Firewall Managerを利用するとルートテーブルは不要になる
E. Firewall Managerは複数アカウントへネットワークセキュリティポリシーを中央適用・管理できる
答えと解説
答え：B / C / E
AWS Network Firewallはトラフィックプレーンでステートレス / ステートフルルールを使った検査を担当します。Firewall ManagerはOrganizations横断で対応セキュリティポリシーを中央適用・管理するガバナンス側のサービスです。
プライベートサブネットからインターネットへの通信を禁止したい。アーキテクトはルートテーブルに「拒否ルール」を追加してファイアウォールの代わりにしようとしている。最も適切な判断はどれか。
B. ルートテーブルでは送信元CIDRに対する明示的な拒否ルールを定義できる
C. ルートテーブルはステートフルファイアウォールとして接続状態を追跡する
D. ルートテーブルはセキュリティグループより優先してパケットを許可/拒否する
答えと解説
答え：A
ルートテーブルの責任はトラフィック経路の選択です。セキュリティ制御としての許可/拒否やステートフル/ステートレス検査とは責任が異なります。
多層防御として最も適切な考え方はどれか。
B. ルーティング、リソース単位アクセス制御、サブネット境界制御、高度な検査など責任の異なる制御を要件に応じて組み合わせる
C. AWS Network Firewallを導入した場合はパケット検査が集約されるため、セキュリティグループとネットワークACLは常に削除して単一制御にする
D. 多層防御は同一リソースへ複数セキュリティグループを付与することを意味し、ルーティングや検査の責任分離は含まれない
答えと解説
答え：B
多層セキュリティは同じルールを重複させることではなく、異なる責任を持つ制御を組み合わせ、単一制御の障害や不足を補う設計です。