セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説あなたの企業は、グローバル展開するWebアプリケーションを複数のアカウント・複数リージョンで運用しています。セキュリティ監視の信頼性を高め、検知の一元管理と迅速な調査を実現したい一方で、コストを抑える必要があります。GuardDuty、Security Hub、Detective の組み合わせをどう設計すべきでしょうか。最も適切なアプローチを選択してください。
Aすべてのアカウント・すべてのリージョンでGuardDutyを有効化し、Security Hubを管理者アカウントに設定して全メンバーの findings を集約する。Detectiveは同じ管理者アカウントで有効化し、Detectiveデータを全アカウントの情報と横断的に調査可能なデータレイクとして運用する。これにより検知を一元化し、通知の遅延を抑えつつコスト効率も高められる。
正解 ⭕⭕
【正解の理由】【正解】 GuardDutyはアカウント・リージョン横断で統合的な見える化を達成するには、全アカウント・全リージョンで有効化するのが基本です。Security Hubを管理者アカウントに設定してメンバーアカウントの findings を集約することで、一元的なセキュリティ posture を実現します。Detectiveを管理者アカウントで有効化してデータを横断的に調査可能なデータレイクとして運用することで、調査の迅速化と再現性が高まります。
BGuardDutyを主要リージョンのアカウントに限定して有効化し、Security Hubは各アカウントで個別に運用する。Detectiveは利用せず、セキュリティイベントの個別調査はGuardDutyの詳細ページとCloudTrailのイベントを手動で突き合わせることで対応する。このアプローチは、初期コストを抑えるが、運用負荷と見落としのリスクが高い。
誤答CGuardDutyを全リージョンで有効化せず、Security Hubの標準機能のみで対応し、各アカウントのセキュリティ状況を個別に監視する。Detectiveで生成されるデータは別途外部SIEMへ転送して調査することで、既存のセキュリティ運用フローに統合する。しかし、これにより全体的な可視性と迅速な対応が損なわれる可能性がある。
誤答DSecurity Hubをデフォルト設定にせず、GuardDutyのみを利用してアラートをメール通知で運用する。Detectiveのデータは、セキュリティ要件に基づきローカルのデータベースへエクスポートして保管し、必要に応じて手動で分析する。この方法は、統合的なセキュリティ管理と迅速なインシデント対応には不向きである。
誤答🎯正解の決め手・公式要点まとめ
正解は、複数アカウント・複数リージョン環境での統合監視を実現するための標準的な設計パターンを示しています。GuardDutyを全域で有効化し、Security Hubで集約、Detectiveで横断的な調査を実現することがポイントです。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。