過去問ドリル

SCS-C03：AWS Certified Security - Specialty インフラストラクチャセキュリティ 問1

インフラストラクチャセキュリティ／ネットワークエッジサービスのセキュリティ制御

インターネットに公開している Web アプリを、SQL インジェクションやクロスサイトスクリプティング（OWASP Top 10）などの一般的な攻撃や、単一 IP からの過剰なリクエストから保護したいと考えています。最も適切なのはどれですか。

当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インフラストラクチャセキュリティ」に対応。実際の試験問題ではありません）

正解：D

解説

AWS WAF は HTTP/HTTPS リクエストを L7 で検査する Web アプリケーションファイアウォールです。ALB や CloudFront に関連付け、AWS マネージドルール（OWASP Top 10 対策を含む）で SQL インジェクションや XSS を、レートベースルールで単一 IP からの過剰リクエストをブロックできます。ネットワーク ACL やセキュリティグループは L3/L4 の制御で HTTP ペイロードの検査はできず、GuardDuty は検出が目的で遮断は行いません。

下線の用語は 用語集 で意味を確認できます。

選択肢ごとの解説

  • A誤り。ネットワーク ACL は L3/L4 の制御で、SQL インジェクションのような HTTP ペイロードの検査はできません。
  • B誤り。セキュリティグループも L3/L4 の制御で、XSS のようなアプリ層の攻撃は検査できません。
  • C誤り。GuardDuty は脅威の検出が目的で、Web リクエストをブロックする機能ではありません。
  • D正しい。WAF をマネージドルール＋レートベースルールで構成すれば、OWASP 系攻撃や過剰リクエストをブロックできます。

同じ分野の問題（ネットワークエッジサービスのセキュリティ制御）

SCS-C03：AWS Certified Security - Specialtyの問題を演習モードで解く