SCS-C03：AWS Certified Security - Specialty インシデント対応 問10
インシデント対応／セキュリティイベントへの対応と調査侵害された疑いのある EC2 インスタンスについて、フォレンジック調査のための証跡を保全しつつ、他への被害拡大を防ぎたい。初動として最も適切なものはどれか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インシデント対応」に対応。実際の試験問題ではありません）
- Aただちにインスタンスを終了（削除）して痕跡を消す
- BEBS スナップショットなどで証跡を保全し、隔離用のセキュリティグループへ付け替えて通信を遮断（隔離）する
- C何もせず稼働を続けさせる
- D本番の全インスタンスを一斉に再起動する
正解：B
解説
侵害が疑われる EC2 は、EBS スナップショットやメモリの取得で証跡を保全したうえで、隔離用のセキュリティグループへ付け替えて通信を遮断（隔離）し、被害拡大を防ぐのが適切な初動です。インスタンスの即時終了は証跡の喪失、放置は被害拡大、全一斉再起動は過剰で不適切です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。終了・削除は証跡を失い、フォレンジックができなくなります。
- B正しい。証跡保全＋隔離SGでの通信遮断が適切な初動です。
- C誤り。放置は被害拡大を招きます。
- D誤り。全一斉再起動は影響が大きく、適切な封じ込めではありません。