過去問ドリル

SCS-C03：AWS Certified Security - Specialty インフラストラクチャセキュリティ 問4

インフラストラクチャセキュリティ／コンピュートワークロードのセキュリティ制御

EC2 インスタンスへの管理アクセスについて、インバウンドの SSH（22 番）ポートを開けず、踏み台サーバーも使わずに、操作を監査ログとして記録できる方式にしたいと考えています。最も適切なのはどれですか。

当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インフラストラクチャセキュリティ」に対応。実際の試験問題ではありません）

正解：C

解説

AWS Systems Manager Session Manager は、SSM エージェント経由でインスタンスへ接続するため、インバウンドの SSH ポートを開けず、踏み台サーバーも不要です。接続はブラウザや CLI から行え、セッションのログを Amazon S3 や CloudWatch Logs に記録して監査できます。SSH ポートの全開放や踏み台公開、固定鍵の配布は攻撃面を広げます。

下線の用語は 用語集 で意味を確認できます。

選択肢ごとの解説

  • A誤り。0.0.0.0/0 からの SSH 許可は攻撃面を大きく広げ、要件（ポートを開けない）に反します。
  • B誤り。踏み台サーバーの公開は追加の管理・攻撃面を生み、ポートを開けない要件に反します。
  • C正しい。Session Manager はインバウンドポート不要で接続でき、セッションログを記録して監査もできます。
  • D誤り。固定の SSH 鍵の配布は漏えいリスクが高く、ポートを開けない・監査可能という要件を満たしません。

同じ分野の問題（コンピュートワークロードのセキュリティ制御）

SCS-C03：AWS Certified Security - Specialtyの問題を演習モードで解く