SCS-C03：AWS Certified Security - Specialty インシデント対応 問2
インシデント対応／インシデント対応計画の設計とテストAmazon GuardDuty が EC2 インスタンスの侵害を検出したら、人手を介さず直ちにそのインスタンスを隔離用セキュリティグループに付け替えて封じ込めたいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インシデント対応」に対応。実際の試験問題ではありません）
- A検出結果をメールで受け取り、担当者が毎回手動でセキュリティグループを付け替える
- BGuardDuty の検出結果を Amazon EventBridge ルールで受け、AWS Lambda または Systems Manager Automation で該当インスタンスを隔離用セキュリティグループへ自動的に付け替える
- CAWS Config のルールでインスタンスを自動的に隔離する
- DAmazon Macie を使ってインスタンスを隔離する
正解：B
解説
GuardDuty の検出結果は Amazon EventBridge のイベントとして受け取れます。EventBridge ルールを契機に AWS Lambda や Systems Manager Automation を起動し、侵害されたインスタンスを隔離用セキュリティグループへ自動的に付け替えれば、人手を介さず迅速に封じ込め（コンテインメント）できます。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。手動対応は時間がかかり、自動封じ込めの要件を満たしません。
- B正しい。GuardDuty→EventBridge→Lambda／SSM Automation で、隔離用セキュリティグループへの付け替えを自動化できます。
- C誤り。AWS Config はリソース構成の評価が目的で、検出を契機としたインスタンスの隔離対応には使いません。
- D誤り。Amazon Macie は S3 の機密データ検出が目的で、インスタンスの隔離には関係しません。