SCS-C03：AWS Certified Security - Specialty インシデント対応 問7
インシデント対応／インシデント対応計画の設計とテストAmazon GuardDuty が EC2 インスタンスの侵害を検出したとき、人手を介さず、隔離用のセキュリティグループへの差し替えやスナップショット取得などの封じ込め手順を自動実行したい。最も適した組み合わせはどれか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インシデント対応」に対応。実際の試験問題ではありません）
- A検出のたびに担当者が手動で対応する
- BGuardDuty を無効化する
- CEventBridge で GuardDuty の検出をトリガーし、SSM Automation ランブック（または Lambda）で封じ込めを自動実行する
- Dセキュリティグループを全開放する
正解：C
解説
EventBridge で GuardDuty の検出結果（findings）をトリガーにし、SSM Automation ランブックや Lambda で、隔離用セキュリティグループへの差し替え・スナップショット取得・タグ付けなどの封じ込めを自動実行できます。手動対応・GuardDuty 無効化・SG 全開放は、自動封じ込めの要件に反します。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。手動対応は迅速な自動封じ込めの要件に反します。
- B誤り。GuardDuty無効化は検出をやめるだけで対応になりません。
- C正しい。検出契機の自動封じ込めは EventBridge＋SSM Automation/Lambda です。
- D誤り。全開放は被害を拡大させる逆効果です。