Q1 — 単一選択Amazon GuardDutyでアクセスキーの不審な利用が検出された。調査すると、そのキーはソースコードに保存された共有の長期認証情報で、さらにIAMユーザーには業務上不要なS3書き込み権限もあった。最も適切な改善方針はどれですか。
A. GuardDutyの検出感度だけを変更し、IAM設定は維持する
B. 認証情報管理を改善し、同時に不要なIAM権限も削減する
C. S3の保持期間だけを延長し、アクセスキーをそのまま利用する
D. CloudTrailを停止し、不審なアクセスキー利用の記録を減らす
答えと解説
答え：B
侵害の入口は認証情報管理、侵害後の被害拡大要因は過剰権限です。1つの検出結果から複数の改善戦略が必要になります。
Q2 — 単一選択Security Hub CSPMで、同じアプリケーションロールについてS3、DynamoDB、KMSに対する不要なアクセス権限が別々の検出結果として報告された。現在の業務要件では、それらの大部分を使用していない。最も適切な改善方針はどれですか。
A. 複数の検出結果を、同じロールの過剰権限という根本原因へまとめて最小権限化する
B. 3件の検出結果それぞれに別のIAMロールを追加し、既存ロールの権限は残す
C. Security Hub CSPMを無効化し、同じロールに関する検出結果を生成しないようにする
D. S3の暗号化だけを強化し、DynamoDBとKMSの権限は変更しない
答えと解説
答え：A
複数の検出結果でも、共通する根本原因が同じ過剰権限なら、ロール全体の最小権限設計として改善できます。
Q3 — 単一選択Amazon GuardDutyで共有の長期アクセスキーによる不審な操作が検出された。IAM権限は業務上必要な範囲だったが、そのキーを複数の担当者が利用していたため、CloudTrailから実際の利用者を特定できなかった。最も適切な改善方針はどれですか。
A. 共有認証情報を維持し、CloudTrailの保持期間だけを延長する
B. IAM権限だけをさらに削減し、共有認証情報の利用は継続する
C. 共有認証情報を廃止し、利用者ごとの認証と操作追跡を可能にする
D. バックアップ保持期間を延長し、現在の認証経路は維持する
答えと解説
答え：C
この事象では、過剰権限ではなく、共有された認証情報が侵害の入口と追跡不足の両方に関係しています。認証情報管理と追跡可能性を組み合わせて改善します。
Q4 — 単一選択Amazon Inspectorで同じEC2ワークロードに複数の脆弱性が検出された。調査すると、一部には適用可能な修正版がある一方、別の脆弱性には現時点で修正版がない。最も適切な改善戦略はどれですか。
A. 適用可能な修正版は反映し、残る脆弱性は別途リスクを評価して緩和策や更新・置換計画を選ぶ
B. 修正版がない脆弱性が1件でもあるため、修正版がある脆弱性も含めて何も変更しない
C. すべての検出結果を`RESOLVED`へ変更し、実際のソフトウェア構成は維持する
D. Amazon Inspectorを無効化し、修正版の有無を確認せず現在のワークロードを継続する
答えと解説
答え：A
同じワークロードでも、すべての脆弱性に同じ改善方法を適用できるとは限りません。修正可能なものは修正し、直接修正できない残存リスクは別の改善戦略へ分けて判断します。
Q5 — 単一選択Amazon Inspectorで重大な脆弱性が検出された。対象コンポーネントは業務上必要で現時点では修正版も提供されておらず、直ちに削除や置換を行うとサービスを停止する必要がある。最も適切な改善戦略はどれですか。
A. 修正版がないため何も行わず、検出結果だけを抑制して恒久的に使用する
B. 直接修正できるまで露出と影響を抑える対策を追加し、更新・置換の計画も進める
C. Amazon Inspectorを停止し、脆弱性が検出されない状態へ変更する
D. バックアップの保存期間だけを延長し、脆弱性への露出はそのまま維持する
答えと解説
答え：B
直接利用できる修正版がない場合でも、何もしないとは限りません。必要なコンポーネントを直ちに除去できないなら、残存リスクを抑える暫定対策と恒久的な更新・置換計画を分けて考えます。
Q6 — 単一選択インシデント調査で、漏えいした長期管理アクセスキーから本番データが削除され、その同じ認証情報で復旧ポイントも削除されていた。CloudTrailから操作経路は追跡でき、アプリケーションロールの権限にも問題はなかった。最も適切な改善方針はどれですか。
A. CloudTrailの保持期間だけを延長し、管理アクセスキーとバックアップ権限は維持する
B. アプリケーションロールの権限を削減し、管理認証情報と復旧経路は変更しない
C. 管理認証情報を改善し、バックアップを侵害された本番認証情報から分離する
D. Security Hub CSPMの状態だけを`RESOLVED`へ変更し、実環境は維持する
答えと解説
答え：C
侵害の入口は管理認証情報であり、さらに同じ侵害経路から復旧ポイントまで失えることが被害を拡大しています。認証情報管理と復旧経路の分離を組み合わせて改善します。
Q7 — 単一選択AWS Configで禁止されたセキュリティグループ設定が毎週検出され、毎回同じ安全な設定へ手動で戻している。調査すると、デプロイテンプレートが同じ禁止設定を再作成していた。最も適切な改善戦略はどれですか。
A. 検出結果を自動的に`SUPPRESSED`へ変更する
B. 手動修復の担当者を増やし、テンプレートは変更しない
C. 自動修復だけを追加し、設定を生成する原因は維持する
D. デプロイテンプレートを修正し、必要なら安全な自動修復を補助的に利用する
答えと解説
答え：D
繰り返す検出結果の根本原因がデプロイ定義なら、まず再発経路を修正します。
Q8 — 単一選択1件のインシデントを調査したところ、長期アクセスキーの漏えい、過剰なIAM権限、利用者を特定できない共有ロールの3つが確認された。改善戦略を選ぶ方法として最も適切なのはどれですか。
A. 侵害の入口・被害拡大要因・追跡不足へ分解し、それぞれに必要な改善を組み合わせる
B. 最も重要度の高い1件だけ選び、その他の問題は無視する
C. 検出元サービスを置き換えれば3つの問題を同時に解消できると判断する
D. `Workflow.Status`を`RESOLVED`へ変更し、実環境は変更しない
答えと解説
答え：A
1件の事象でも、認証情報、最小権限、追跡可能性という異なる役割の改善が同時に必要になる場合があります。