SCS-C03：AWS Certified Security - Specialty インシデント対応 問6
インシデント対応／セキュリティイベントへの対応と調査ある IAM ユーザーの長期アクセスキーが漏洩した疑いがあります。被害を抑える初動として最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インシデント対応」に対応。実際の試験問題ではありません）
- A様子を見て、実際に問題が起きてから対応する
- Bルートユーザーのアクセスキーを新たに発行して全員へ配布する
- Cセキュリティグループをすべて開放して通信状況を確認する
- D漏洩した疑いのあるアクセスキーを直ちに無効化（または削除）し、CloudTrail でそのキーの使用履歴を調査して、関連する認証情報をローテーションする
正解：D
解説
アクセスキー漏洩時の初動は、被害拡大を止めるために該当キーを直ちに無効化（または削除）することです。そのうえで CloudTrail でそのキーがどう使われたか（不正操作の有無・範囲）を調査し、関連する認証情報をローテーションします。放置やルートキーの配布、全開放は被害を拡大させます。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。放置は被害を拡大させ、初動対応になりません。
- B誤り。ルートユーザーのアクセスキー発行・配布は最も危険で、絶対に行いません。
- C誤り。セキュリティグループの全開放はむしろ攻撃面を広げ、封じ込めになりません。
- D正しい。該当キーの無効化・削除→CloudTrail で使用履歴調査→関連認証情報のローテーションが適切な初動です。