Q50 — AWS SAA-C03 第6章

第 50/65 問 | ← 第6章

Q415. ある企業が新しいモバイルアプリを開発しています。この企業は、クロスサイトスクリプティング（XSS）やSQLインジェクションなどの一般的なアプリケーション層攻撃から、Application Load Balancer（ALB）を適切に保護するためのトラフィックフィルタリングを実装する必要があります。また、同社には最小限のインフラストラクチャと運用スタッフしかいません。さらに、AWS環境におけるサーバーの管理・更新・セキュリティ対策に関する自社の責任分担を軽減したいと考えています。これらの要件を満たすために、ソリューションアーキテクトは何を推奨すべきでしょうか？

• A. AWS WAFのルールを設定し、それをALBに関連付けます。 ✓
• B. Amazon S3を用いてアプリケーションをデプロイし、パブリックホスティングを有効化します。
• C. AWS Shield Advancedを展開し、ALBを保護対象リソースとして追加します。
• D. 新しいALBを作成し、そのALBがサードパーティ製ファイアウォールを実行するAmazon EC2インスタンスにトラフィックを送信するように設定します。その後、そのファイアウォールがトラフィックを現在のALBに転送します。

正解: A. AWS WAFのルールを設定し、それをALBに関連付けます。

解説

AWS WAF（Web Application Firewall）は、アプリケーション層（OSI第7層）の攻撃（例：XSS、SQLインジェクション、HTTP洪水など）を検出・ブロックするマネージドサービスです。ALBと直接統合可能であり、サーバーの管理・更新・セキュリティ対策をAWSが負担するため、顧客の運用負荷と責任分担を大幅に削減できます。一方、選択肢Bは静的ウェブサイトホスティング向けであり、アプリケーション層の攻撃防御機能はありません。選択肢CのAWS Shield Advancedは主にDDoS攻撃（ネットワーク／トランスポート層）への保護を提供し、アプリケーション層の攻撃には不十分です。選択肢Dは、EC2上のサードパーティ製ファイアウォールを導入するもので、サーバーの管理・更新・セキュリティ対策を自社が行う必要があり、要件に反します。したがって、正解はAです。