AWS認定資格 無料問題集

解答

正しい解答：Ｃ. AWS Config

　URL を直接入力して「解答・解説」画面を表示した場合、何を選択・解答したかを特定できないため、解答の正誤判定ができません。必要に応じて「同じ問題に再挑戦」ボタンをクリックして、この問題に再チャレンジしてみてください。

徹底解説

　Amazon EC2 インスタンスに設定しているセキュリティグループの不用意な設定変更を監視することができるサービスは、AWS Config です。AWS Config は、AWS環境内のリソースの構成や設定を監視・管理するためのサービスです。AWS Config を使用すると、AWS環境内のリソース構成や設定を継続的に記録して、モニタリングすることにより、あらかじめ定義した組織のルール、ポリシーやガイドラインに従った設定との整合性を評価することができます。これにより、組織のポリシーに従って定義したセキュリティグループの設定から逸脱するような不用意な変更がされたことを検知すると、AWS Systems Manager と連携して修復アクションを実行したり、Amazon SNS を使用して管理者にメール通知するといったことが可能です。なお、セキュリティグループは、Amazon EC2 の 1つ以上のインスタンスに対する通信を制御するステートフルなファイアウォール機能を提供するものです。Amazon EC2 インスタンスに対して、特定のインバウンドおよびアウトバウンド通信の許可設定を追加・変更・削除することができます。

　その他の選択肢は、セキュリティグループの設定変更を監視することができるサービスではありません。Amazon GuardDuty は、悪意のある操作や不正な動作を継続的に監視して、脅威を検出するマネージド型のサービスです。脆弱性診断ではなく、ログを監視・分析して脅威の存在を検出します。AWS CloudTrail 管理イベント、AWS CloudTrail イベントログ、VPCフローログ、DNS ログなどを分析して処理するセキュリティモニタリングサービスです。
　AWS Audit Manager は、AWS の使用状況を継続的に監査して、規制・業界標準・コンプライアンスに準拠するためにエビデンスの収集や監査レポートの作成を自動化するマネージド型のサービスです。AWS Config をデータソースとしてエビデンスを自動収集することができるサービスですが、セキュリティグループの設定変更を直接監視・検知する機能は AWS Config 側が担っており、本問題の解答としては AWS Config のほうが適切です。参考までに、AWS Audit Manager は、CLF-C02 で明示的に試験範囲として追加されたサービスです。上記の解説をよく読んで、サービスの定義や基本的な内容の理解を深めておくようにしましょう。
　Amazon CloudWatch は、インスタンスのメトリクス（対象サービスのリソース情報）やネットワークの通信状態、アプリケーションを監視する統合監視サービスです。AWS サービスのメトリクスを収集・監視するサービスではありますが、セキュリティグループの設定変更を監視して検知するサービスではありません。

Step Up！
　AWS Config を使用したセキュリティグループのモニタリングに関して、下記のサイトが参考になります。必要に応じて、ご確認ください。

AWS Config Rules のマネージドルールでセキュリティグループをチェックしよう：
https://dev.classmethod.jp/articles/awsconfig-managed-sg/