SCS-C03 練習問題 10

セキュリティエンジニアが、VPC 内で動作するパブリック Web アプリケーションを保護する必要があります。この VPC は Amazon CloudFront ディストリビューションのオリジンをホストしています。このアプリケーションは、複数回のレイヤー 7（L7）DDoS 攻撃を受けてきました。CloudFront ディストリビューションには AWS WAF の Web ACL が関連付けられており、その Web ACL には、評判の悪い既知の IP アドレスから保護するための AWS マネージドルールが 1 つ含まれています。 セキュリティエンジニアは、手作業なしで、レイヤー 7 DDoS 攻撃をリアルタイムに検出して緩和する自動化されたソリューションを構成する必要があります。 これらの要件を満たすソリューションはどれですか？

【正解】D

【0からの解説】
キーワードは「レイヤー 7（アプリケーション層）」「リアルタイム」「手作業なしの自動緩和」です。

L7 DDoS（HTTP フラッドなど）への対策は AWS WAF が中心になります。
・レートベースルール：一定時間に多数のリクエストを送ってくる送信元 IP を自動でブロックでき、HTTP フラッド緩和の基本です。
・AWS Shield Advanced：CloudFront などのエッジリソースに対する高度な DDoS 保護を提供します。
・自動アプリケーションレイヤー DDoS 緩和（automatic application layer DDoS mitigation）：Shield Advanced の機能で、保護対象に関連付けた WAF Web ACL に対し、L7 攻撃を検出すると Shield が自動で WAF ルールを作成・適用して緩和します。まさに「手作業なしでリアルタイムに検出・緩和」という要件に直結します。
この 3 つを組み合わせる D が、L7 DDoS の自動検出・自動緩和を実現する最適解です。

【誤りの選択肢】
A：Shield Advanced を有効化して CloudWatch でアラートを出すだけでは「検知・通知」にとどまり、自動的な緩和（mitigation）は行われません。「手作業なしの緩和」という要件を満たしません。
B：プロアクティブエンゲージメント（DRT との連携）は、AWS の専門チームが対応を支援する仕組みで人手を介する運用です。「手作業なしの自動緩和をリアルタイムに」という要件には合致しません。
C：AWS Network Firewall はネットワーク層／トラフィック制御向けで、CloudFront 前段の L7 HTTP フラッド緩和の主役ではありません。さらに Lambda で Web ACL を自作更新する設計は複雑で、Shield Advanced の自動 L7 緩和という標準機能があるのに比べて不適切です。

【参考】
Shield Advanced のアプリケーションレイヤー自動 DDoS 緩和
AWS WAF のレートベースルール