理解確認：セキュリティ分析・検出サービスの役割

答え：C

リソースポリシーによる信頼境界外へのアクセスを分析する要件なのでIAM Access Analyzerです。

答え：D

未使用ロール、認証情報、権限の分析にはIAM Access Analyzerの未使用アクセス分析を利用します。

答え：A

ソフトウェア脆弱性の継続スキャンはAmazon Inspectorの役割です。

答え：D

EC2への開放されたネットワーク経路の評価はAmazon Inspectorのネットワーク到達可能性の検出結果の対象です。

答え：C

不審なAPI利用や認証情報侵害の兆候は脅威検知であり、GuardDutyの責任です。

答え：B

セキュリティ標準 / 制御による状態とコンプライアンス可視性はSecurity Hub CSPMの中心責任です。

答え：A

Security Hub CSPMは対応する統合サービスから検出結果を受け取りASFFへ正規化できます。IAM Access Analyzerについては外部アクセス / 未使用アクセス検出結果が統合対象として明示されています。

答え：D

現在のAWS Security Hubは、脆弱性・設定・脅威・ネットワーク・権限・リソース関係など複数のシグナルを相関して露出の検出結果を生成し、重大なリスクを優先できます。

答え：C

Inspector 検出結果は脆弱性を示します。GuardDutyの脅威検出結果と同じ意味ではありません。

答え：A / C / D

アクセス・脆弱性・脅威の検知送信元を分離して判断します。

答え：A / B / C / F

Security Hub CSPMはセキュリティ状態とASFFベースの検出結果統合を担います。AWS Security HubはOCSFを標準形式とし、複数シグナルを相関して露出を優先します。コンプライアンス、脅威 / 脆弱性検知、露出の相関はそれぞれ別の責任です。

答え：C

外部アクセスは信頼境界外へのアクセス、未使用アクセスは未使用権限等、内部アクセスはアカウントや組織内部のプリンシパルから指定リソースへの実効アクセス経路を分析する目的で使い分けます。

答え：A / B / C / E

GuardDutyの基本データソースはCloudTrail管理イベント、VPC フローログ、Route 53 Resolver DNSクエリログです。GuardDutyは独立したデータストリームから自動的に分析を開始し、自分で各ログをS3へ保存しておくことは前提ではありません。

答え：B

IAM Access AnalyzerからSecurity Hub CSPMへ送られる検出結果として外部アクセスと未使用アクセスが明示されています。内部アクセス検出結果まで同じ統合対象とは判断しません。

答え：A / D / E / F

Amazon Inspectorは脆弱性管理サービスで、EC2/ECR/Lambdaなどのソフトウェア脆弱性に加えEC2 ネットワーク到達可能性を評価できます。現在 Inspectorにはコードセキュリティ/コード脆弱性の機能もあります。

答え：B / D / E / F

現在AWS Security HubはサービスにリンクされたIAM Access Analyzerを自動作成し、CloudTrail アクティビティを90日間の固定参照期間で評価して未使用アクセス検出結果を生成します。サービスにリンクされたアナライザーはカスタマーマネージドアナライザーとは別です。