Defense in Depthで既存Architectureをレビューする

公開WebアプリケーションにはAWS WAFとセキュリティグループがあり、Amazon S3上の機密データはSSE-KMSで暗号化されている。Webアプリケーションを侵害された場合を確認したところ、EC2ロールは業務上不要なS3バケットと複数のKMSキーへアクセスできる。横断レビューで最も重要な指摘はどれですか。

インターネットから直接到達できるのはALBだけで、アプリケーションサーバーはプライベートサブネットにある。しかしアプリケーションサーバーを侵害した場合、同一VPC内の複数のデータベースへ接続できるセキュリティグループ構成になっている。データベース側には認証も設定されている。最も適切なレビュー結果はどれですか。

WebアプリケーションにはAWS WAF、セキュリティグループ、アプリケーション認証があり、EC2ロールも必要最小限である。しかしEC2上のランタイムにはリモートコード実行につながる重大な既知脆弱性が残っている。攻撃経路を横断的に見た場合、最も適切なのはどれですか。

攻撃者が侵害した管理ロールを使ってセキュリティグループを変更し、通常とは異なるAWS API操作を実行した。しかし重要な管理操作のCloudTrail記録が集約されておらず、アプリケーション側の重要操作にも十分な監査ログがない。最も適切な改善はどれですか。

WebアプリケーションにはAWS WAF、Cognitoによる認証、セキュリティグループが設定されている。利用者Aが正しく認証した後、APIのリソースIDを変更すると利用者Bの情報を取得できることが分かった。最も適切なレビュー結果はどれですか。

既存アーキテクチャではAWS WAF、セキュリティグループ、CloudTrail、KMSキーポリシーを別々に設定している。しかし、1つの管理ロールからこれらすべてを変更できる。レビューで最も重要な指摘はどれですか。

既存アーキテクチャのレビューで、インターネットから機密データまでの攻撃経路と、経路上の既存対策を整理した。次に実施する方法として最も適切なのはどれですか。