SCS-C03 練習問題 6

ある開発チームが、会社の SaaS（Software as a Service）アプリケーションを管理するためのオープンソースのツール群を作成しています。会社は誰でもコードを閲覧・ダウンロードできるよう、コードをパブリックリポジトリに保存しています。 その後、コードの中に、会社の AWS 環境の内部リソースへのアクセスを与える IAM アクセスキーとシークレットキーが含まれていることが判明しました。 セキュリティエンジニアは、流出した認証情報が不正に使用されたかどうかを特定するソリューションを実装する必要があります。さらにそのソリューションは、流出した認証情報の追加使用を防止する必要もあります。 これらの要件を満たす手順の組み合わせはどれですか？（2 つ選択してください）

【正解】B、E

【0からの解説】
公開リポジトリに IAM アクセスキー／シークレットキーが漏洩した状況です。要件は「不正利用が発生したかを特定する」ことと「それ以上の不正利用を防ぐ」ことです。
E（IAM 認証情報レポート）：認証情報レポートには各アクセスキーの最終使用日時(access key last used)・最終使用リージョン・最終使用サービスが記録されます。これを見れば、漏洩後にそのキーが使われたか、想定外のリージョン／サービスから使われていないかを確認でき、「不正利用が発生したか」を特定できます。
B（漏洩したアクセスキーの無効化）：露出したアクセスキーを直ちに無効化(deactivate)すれば、以後そのキーでのアクセスを止められ、追加の不正利用を防げます。
この 2 つ(B と E)の組み合わせが、特定と封じ込めの両方を満たします。

【誤りの選択肢】
A：IAM Access Analyzer は、リソースベースのポリシーを分析して外部や意図しないプリンシパルに共有されているリソースを検出するサービスです。「その認証情報が何のリソースにアクセスしたか／誰が使ったか」という利用履歴の追跡は行いません(それは AWS CloudTrail の役割)。よって不正利用の特定手段として不適です。
C：Amazon GuardDuty は脅威を検出するサービスであり、特定のアクセスキーの使用をブロックする機能はありません。GuardDuty にそのようなルールを作ることはできません。
D：新しいアクセスキーを作成しても、漏洩した古いキーは有効なままで不正利用を止められず、また「不正利用が発生したかの特定」にもなりません。まず漏洩キーの無効化(B)が必要です。

【参考】
漏洩した可能性のあるアクセスキーへの対応 - IAM
IAM 認証情報レポートの取得