Q1 — AWS SAA-C03 第14章

第 1/100 問 | ← 第14章

Q1001. ある企業がAWSクラウド上でアプリケーションを構築しています。このアプリケーションは、Application Load Balancer（ALB）の背後に配置されたAmazon EC2インスタンスでホストされています。DNSにはAmazon Route 53を使用しています。企業は、DDoS攻撃を検出・防御するためのマネージドソリューションを必要としており、そのソリューションには「積極的な対応（proactive engagement）」が求められます。これらの要件を満たすソリューションはどれですか？

• A. AWS Configを有効化し、DDoS攻撃を検出するAWS Configマネージドルールを設定します。
• B. ALB上でAWS WAFを有効化し、DDoS攻撃を検出し防止するルールを含むAWS WAF Web ACLを作成してALBに関連付けます。
• C. ALBのアクセスログをAmazon S3バケットに保存し、Amazon GuardDutyを設定してDDoS攻撃を検出し、自動的な予防措置を実行します。
• D. AWS Shield Advancedをサブスクライブします。Route 53でホステッドゾーンを設定し、ALBリソースを保護対象リソースとして追加します。 ✓

正解: D. AWS Shield Advancedをサブスクライブします。Route 53でホステッドゾーンを設定し、ALBリソースを保護対象リソースとして追加します。

解説

Amazon EC2インスタンスの背後に配置されたApplication Load Balancer（ALB）上でホストされるアプリケーションに対して、DDoS攻撃を検出し防御するためのマネージドかつ「積極的な対応（proactive engagement）」を提供するソリューションとして最も適しているのは、選択肢Dです。AWS Shield Advancedは、AWS上で実行されるアプリケーション向けに強化されたDDoS保護を提供するサービスであり、DDoS攻撃に対するリアルタイムの検出および緩和機能を備えています。また、Route 53のホステッドゾーンを設定し、ALBリソースを保護対象として登録することで、リアルタイムの攻撃可視性や24時間365日体制のDDoS対応チームへのアクセスといった高度な保護機能を活用できます。他の選択肢の評価：A. AWS Configはリソースの構成管理およびコンプライアンス確認に役立ちますが、DDoS攻撃の検出機能はありません。B. AWS WAFはWeb層の攻撃（例：SQLインジェクション、XSS）に対する保護に有効ですが、ネットワーク層の大規模DDoS攻撃を包括的に防御するソリューションではありません。C. ALBのアクセスログをS3に保存しGuardDutyで分析する方法は、攻撃発生後のログ解析に基づく「反応的（reactive）」なアプローチであり、Shield Advancedのような専用のDDoS緩和機能や積極的な対応体制を提供しません。以上より、AWSクラウド上でホストされるアプリケーションに対してマネージドかつ積極的なDDoS保護を提供するには、選択肢Dが最も効果的なソリューションです。