SCS-C03：AWS Certified Security - Specialty インシデント対応 問1
インシデント対応／インシデント対応計画の設計とテスト公開している重要な Web アプリが、大規模な DDoS 攻撃の標的になるリスクがあります。L3/L4 だけでなく L7 の攻撃にも対応する高度な保護と、攻撃時の専門チームによる支援、スケーリングに伴う急な課金に対する保護を得たいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インシデント対応」に対応。実際の試験問題ではありません）
- AAWS Shield Advanced を有効化し、高度な DDoS 保護・対応支援・DDoS コスト保護を利用する
- BAWS WAF のマネージドルールだけで、あらゆる L3/L4 DDoS を完全に防ぐ
- CAmazon GuardDuty を有効化して DDoS トラフィックを遮断する
- Dセキュリティグループで全トラフィックを拒否する
正解：A
解説
AWS Shield Advanced は、L3/L4 に加えて L7（アプリケーション層）の DDoS に対する高度な保護を提供し、Shield Response Team（SRT）による対応支援や、攻撃に伴うスケーリングで発生した課金の一部を払い戻す DDoS コスト保護を備えます。WAF は L7 のフィルタリングには有効ですが、単体で L3/L4 DDoS を完全に防げるわけではなく、GuardDuty は検出が目的、全拒否はアプリを止めてしまいます。
選択肢ごとの解説
- A正しい。Shield Advanced は高度な DDoS 保護・SRT の対応支援・DDoS コスト保護を提供し、要件に合致します。
- B誤り。WAF は L7 のフィルタリングが中心で、単体であらゆる L3/L4 DDoS を完全に防ぐものではありません。
- C誤り。GuardDuty は脅威の検出が目的で、DDoS トラフィックを遮断する緩和サービスではありません。
- D誤り。全トラフィック拒否は正当な利用者も遮断してしまい、可用性の要件に反します。