SAP-C02-070 · 理解確認
Security要件から最適なControlを選択する
13問 · 1問ずつ確認
公開ウェブアプリケーションでは、最小権限IAM ロール、必要通信だけを許可するセキュリティグループ、暗号化、AWS WAFを実装済みである。追加要件として、侵害された認証情報などによる不審なAWSアクティビティを検知したい。最も適切な追加制御はどれか。
B. AWS WAFのルールを追加し、AWS API操作の異常検知までWAFへ集約する
C. Patch Managerのスキャン頻度を増やし、認証情報の悪用をパッチコンプライアンスとして検知する
D. AWS KMSのキーローテーションを短くし、異常なAPI操作を暗号化制御で検知する
答えと解説
答え：A
既存制御は主に予防とデータ保護です。残存する脅威の検知要件にはAmazon GuardDutyを評価します。
Amazon GuardDutyで脅威を検知し、その検出結果をセキュリティチームが一元確認したい。さらにAWS環境のセキュリティ状態も継続評価したい。最も適切な構成はどれか。
B. GuardDutyの脅威検知とSecurity Hub / CSPMの集約・状態評価を組み合わせる
C. GuardDuty 検出結果をPatch Managerへ集約し、パッチコンプライアンスと同じ基準で評価する
D. AWS WAFへGuardDuty 検出結果を連携し、ウェブACLの評価結果としてセキュリティ状態を管理する
答えと解説
答え：B
脅威検知と検出結果/ セキュリティ状態の集約評価は別の責任です。
AWS Security Hubのカバレッジ検出結果で、対象アカウントのGuardDuty Runtime Monitoringが「対象外」であることを確認した。組織標準ではEC2ワークロードの実行時脅威検知が必要である。最も適切な判断はどれか。
B. Security Hub CSPMの別標準を有効化し、Runtime Monitoringをセキュリティ状態制御へ置き換える
C. 適用範囲の不足として扱い、対象ワークロードで必要なGuardDuty Runtime Monitoringの適用状態を確認・有効化する
D. Patch Managerのコンプライアンススキャンを増やし、Runtime Monitoringが未適用の期間をパッチ評価で補う
答えと解説
答え：C
制御名だけでなく、必要な検知機能が対象範囲へ実際に適用されているか確認します。
セキュリティ制御を組み合わせる際の適切な判断を3つ選択してください。
B. AWS Security Hubへ検出結果を集約できれば、元の検知サービスは不要になる
C. パッチコンプライアンスと実行時の脅威検知は異なる要件として評価する
D. 制御ごとに、どのセキュリティ要件を満たすかを対応付ける
E. AWS WAFを使う場合は同じ公開経路上の暗号化要件を省略できる
F. Security Hub CSPMがPASSEDなら、現在進行中の脅威検知結果は評価しなくてよい
答えと解説
答え：A / C / D
予防、維持、検知、評価を代替関係にせず、要件ごとに責任を対応付けます。
EC2ワークロードには「顧客データを暗号化する」「不審なAWSアクティビティを検知する」「OSを組織のパッチ標準へ継続的に合わせる」という要件がある。AWS KMS、Amazon GuardDuty、AWS Security Hubは導入済みだが、パッチ適用を維持する仕組みは設計されていない。制御マップのレビューとして最も適切なのはどれか。
B. AWS KMSで顧客データを暗号化していれば、OSのパッチ標準も同じ制御で満たされる
C. Amazon GuardDutyで脅威を検知できるため、OSのパッチ状態を維持する制御は不要になる
D. パッチ標準を維持する要件が未対応なので、Patch Managerやパッチポリシーなどの制御を追加する
答えと解説
答え：D
制御マップでは、各要件へ責任を持つ制御が存在するかを確認します。暗号化・脅威検知・中央評価があっても、OSを組織のパッチ標準へ維持する責任は別に満たす必要があります。
Amazon GuardDutyとAWS Security Hubを導入済みだが、アプリケーションロードバランサーのセキュリティグループに不要な管理ポートのインターネット公開が残っている。最も適切な対応はどれか。
B. AWS Security Hubの露出の検出結果で優先順位付けできるため、ネットワーク設定は維持して検出結果対応だけを強化する
C. GuardDuty Runtime Monitoringを有効化し、インターネット公開された管理ポート自体を実行時検知で代替する
D. Patch Managerの適用周期を短くし、ネットワーク公開リスクをパッチ準拠によって相殺する
答えと解説
答え：A
検知制御は不要なアクセス許可を残してよい理由にはなりません。予防制御の不足を先に閉じます。
すべてのEC2が最新のパッチ標準へ準拠している。追加要件として、EC2上の不審なプロセス実行やネットワーク活動を検知したい。最も適切な判断はどれか。
B. パッチ管理とは別に、GuardDuty Runtime Monitoringなど対象ワークロード向けの脅威検知を追加する
C. Security Hub CSPMのセキュリティ標準を追加し、OSレベルの実行時活動はセキュリティ状態の評価だけで監視する
D. インストール頻度とコンプライアンススキャンを増やし、実行時の異常をパッチ状態の変化として評価する
答えと解説
答え：B
パッチ状態と実行時の脅威検知は別のセキュリティ要件です。
公開ウェブシステムでは、既知のウェブ攻撃をアプリケーション到達前に緩和し、DB認証情報をコードへ固定せずローテーション可能にし、侵害されたAWS認証情報が不審な場所から利用された場合は検知結果をインシデント対応経路へ渡して隔離処理につなげたい。責任分担として適切な制御を3つ選択してください。
B. AWS Secrets ManagerなどでDB認証情報を管理し、アプリケーションが実行時に取得できるようにしてローテーション可能な設計にする
C. Amazon GuardDutyなどで不審なAWSアクティビティを検知し、検出結果を別の対応自動化へ渡して隔離処理につなげる。GuardDuty自体を遮断装置とはみなさない
D. AWS Security Hub CSPMだけでウェブ攻撃の遮断、DB認証情報のローテーション、侵害セッションの無効化をすべて自動実行できるとみなす
E. 保存時暗号化だけでウェブ攻撃緩和、認証情報管理、脅威検知の3要件をすべて満たす
F. OSパッチコンプライアンスだけを維持すれば、認証情報侵害やウェブ攻撃も同じ制御で検知・遮断できるとみなす
答えと解説
答え：A / B / C
攻撃緩和、認証情報管理、脅威検知は責任が異なります。さらにGuardDutyは検知を行うサービスであり、隔離や認証情報無効化などの封じ込めは別の対応処理へ接続して実行します。各制御の出力と次の処理をつなげて設計します。
AWS Security Hub上で、同じリソースに設定上の問題、脆弱性、GuardDuty 脅威など複数のセキュリティシグナルが関連している。多数の個別検出結果から優先対応対象を判断したい。最も適切な方法はどれか。
B. GuardDuty 検出結果だけを残し、設定と脆弱性のシグナルを除外して単一指標で判断する
C. 露出の検出結果などで複数シグナルとリソース関係を相関し、複合したリスクから優先順位を判断する
D. パッチコンプライアンスだけを最終指標にして、脅威や設定のシグナルは補助情報として無視する
答えと解説
答え：C
複数シグナルの相関から複合したリスクを見て優先順位付けします。
公開Webシステムでは、管理者の長期共有認証情報をなくして利用者ごとに追跡可能なアクセスへ変更し、顧客データを保管中に暗号化し、既知のWeb攻撃をアプリケーション到達前に緩和する必要がある。要件と制御の対応として最も適切なものはどれか。
B. 管理者は利用者ごとの一時認証情報、データはAWS KMS、Web攻撃はAWS WAFなど、責任ごとに制御を対応付ける
C. AWS KMSで管理者の本人確認とWeb攻撃検査まで行い、認証情報とネットワーク制御を廃止する
D. AWS WAFでデータを暗号化し、AWS Security Hubで管理者へ長期アクセスキーを発行する
答えと解説
答え：B
Identity、Encryption、Attack Mitigationは異なる責任です。利用者ごとの一時認証情報、保管中データの暗号化、Webリクエスト検査をそれぞれ適切な制御へ対応付け、1つのサービスへ無理に集約しません。
最終的な制御の選択で確認すべき事項を3つ選択してください。
B. すべての制御を同じAWSサービスへ集約できているか
C. 選択した制御がどのセキュリティ要件を満たすか
D. 制御間の依存関係や迂回経路によって保護を回避できないか
E. 必要なアカウント / リージョン / ワークロードへ制御が実際に適用されているか
F. 同じ責任の制御を可能な限り重複配置しているか
答えと解説
答え：C / D / E
要件適用範囲、依存関係・迂回、実際の適用範囲を確認します。
Security Hub CSPMでは多くの制御がPASSEDになっている一方、Amazon GuardDutyでは高重要度の脅威検出結果が発生している。最も適切な判断はどれか。
B. GuardDuty 検出結果が1件でもあれば、CSPMのすべてのPASSED結果を無効として再評価する
C. セキュリティ状態と現在の脅威は別のシグナルとして扱い、両方を含めてリスクと対応優先度を評価する
D. Patch Managerを実行し、セキュリティ状態と脅威の両方をパッチコンプライアンスへ統合して解消する
答えと解説
答え：C
設定・標準への準拠と現在進行中の脅威検知結果は別のシグナルです。
新しいAWSシステムのセキュリティ制御を最終選定している。適切な判断を4つ選択してください。
B. 予防制御が十分でも、要件に脅威検知があれば検知制御を別途評価する
C. 制御の採用数を最大化し、同じ責任の重複も安全余裕として必ず残す
D. GuardDuty等を標準制御にした場合、必要な保護プラン / 機能が対象範囲で有効か確認する
E. 制御の採用数ではなく、要件の適用範囲の不足が残っていないかで最終判断する
F. AWS Security Hub / Security Hub CSPMを使う場合も、セキュリティ状態・検出結果集約・脅威検知の責任を混同しない
答えと解説
答え：B / D / E / F
最終構成では、各制御の責任・適用範囲・適用範囲の不足を対応付けて判断します。