SCS-C03：AWS Certified Security - Specialty インフラストラクチャセキュリティ 問5
インフラストラクチャセキュリティ／ネットワークセキュリティ制御の設計VPC を出入りするトラフィックに対して、ステートフルな検査や、許可するドメインのフィルタリング、侵入防止（IPS）といった高度なネットワーク保護を、VPC 単位で一元的に適用したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インフラストラクチャセキュリティ」に対応。実際の試験問題ではありません）
- Aセキュリティグループだけでドメインフィルタリングと侵入防止（IPS）を実現する
- Bネットワーク ACL（ステートレス）でステートフル検査と侵入防止（IPS）を実現する
- Cルートテーブルの設定だけで侵入防止（IPS）を実現する
- DAWS Network Firewall を VPC にデプロイし、ステートフル検査・ドメインフィルタリング・IPS ルールを一元的に適用する
正解：D
解説
AWS Network Firewall は VPC 向けのマネージドなネットワークファイアウォールで、ステートフルなトラフィック検査、ドメイン名に基づくフィルタリング、Suricata 互換の IPS ルールなどを VPC 単位で一元的に適用できます。セキュリティグループ（インスタンス単位・ステートフルだがドメインフィルタ/IPS 不可）、ネットワーク ACL（サブネット単位・ステートレス）、ルートテーブル（経路制御）ではこれらの高度な保護は実現できません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。セキュリティグループはインスタンス単位の制御で、ドメインフィルタリングや IPS はできません。
- B誤り。ネットワーク ACL はステートレスのサブネット単位制御で、ステートフル検査や IPS はできません。
- C誤り。ルートテーブルは経路制御であり、侵入防止の仕組みではありません。
- D正しい。Network Firewall で、ステートフル検査・ドメインフィルタリング・IPS を VPC 単位で一元適用できます。