SCS-C03：AWS Certified Security - Specialty インフラストラクチャセキュリティ 問8
インフラストラクチャセキュリティ／ネットワークセキュリティ制御の設計大規模な VPC 環境で、インターネットゲートウェイから本来到達できてはいけないリソース（例: データベースサブネット）への意図しないネットワーク経路が存在しないかを、構成に基づいて網羅的に検証したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インフラストラクチャセキュリティ」に対応。実際の試験問題ではありません）
- AVPC フローログを見て、意図しない経路がないかを目視で確認する
- BAmazon GuardDuty で意図しないネットワーク経路を検出する
- CNetwork Access Analyzer でネットワークアクセススコープ（到達を許容しない経路の条件）を定義し、構成上その経路が存在しないかを網羅的に検証する
- DAWS Config のルールだけでネットワーク経路の到達性を検証する
正解：C
解説
Network Access Analyzer は、ネットワークアクセススコープ（MatchPaths／ExcludePaths）で「許容しない経路」の条件を定義し、現在の構成上その経路が存在するかを網羅的に解析する構成分析ツールです。インターネットゲートウェイから機密サブネットへの意図しない到達経路やセグメンテーション違反を特定できます。フローログは実トラフィックの記録で網羅的な構成検証には向かず、2 点間の到達性検証は Reachability Analyzer の役割です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。VPC フローログは実際に流れたトラフィックの記録で、構成上の経路を網羅的に検証するものではありません。
- B誤り。GuardDuty は脅威検出が目的で、意図しない経路の構成的な洗い出しは行いません。
- C正しい。Network Access Analyzer でスコープを定義し、意図しない経路の有無を構成に基づき網羅的に検証できます。
- D誤り。AWS Config は構成項目の評価が中心で、ネットワーク経路の到達性解析を担うのは Network Access Analyzer です。