Q79 — AWS SCS-C02 第1章

第 79/100 問 | ← 第1章

開発チームが、企業のソフトウェア・アズ・ア・サービス（SaaS）アプリケーションを管理するオープンソースのツールセットを作成しています。企業はコードを公開リポジトリに保管しており、誰でもツールセットのコードを閲覧およびダウンロードできます。 企業は、コード内にIAMアクセスキーおよびシークレットキーが含まれており、これにより企業のAWS環境内の内部リソースへのアクセスが可能であることを発見しました。 セキュリティエンジニアは、暴露された認証情報が不正に使用されたかどうかを特定するソリューションを実装する必要があります。また、暴露された認証情報のさらなる使用を防止する必要があります。 これらの要件を満たす手順の組み合わせはどれですか？（2つ選択）

• A. AWS Identity and Access Management Access Analyzerを使用して、暴露された認証情報がどのリソースにアクセスしたかおよび誰が使用したかを特定する。 ✓
• B. ユーザーのIAMアカウントから暴露されたIAMアクセスキーを無効化する。 ✓
• C. Amazon GuardDutyにルールを作成して、ソースコード内のアクセスキーの使用をブロックする。
• D. 認証情報が暴露されたユーザーの新しいIAMアクセスキーおよびシークレットキーを作成する。
• E. IAM認証情報レポートを生成する。レポートを確認して、アクセスキーを所有するユーザーが最後にログインした時刻を確認する。

正解: A. AWS Identity and Access Management Access Analyzerを使用して、暴露された認証情報がどのリソースにアクセスしたかおよび誰が使用したかを特定する。, B. ユーザーのIAMアカウントから暴露されたIAMアクセスキーを無効化する。

解説

本問は、AWS認証情報が漏洩した後の対応策について扱っています。AWS公式ドキュメントによると、IAMアクセスキーが暴露された場合、最初に行うべきは即座に該当キーを無効化（選択肢B）することであり、これによりさらなる不正アクセスを防止します。また、AWS Identity and Access Management Access Analyzer（選択肢A）は、リソースへのアクセス履歴を分析し、暴露された認証情報が実際に使用された範囲および利用者を特定するのに適しています。選択肢Cは誤りであり、GuardDutyは認証情報の使用を直接ブロックする機能を持っていません。選択肢Dはその後の復旧措置であり、検出および阻止とは関係ありません。選択肢Eの認証情報レポートはユーザーの最終ログイン時刻のみを提供し、外部からのキー使用を検証できません。正しい対応は、キーの無効化とアクセス履歴の分析です。