ANS-C01 実践問題集

演習テスト 3

■ 問題の要約

■ 選択肢と正誤理由

❌ Amazon Inspector で送信トラフィックのディープパケット検査
- Inspector は脆弱性評価・コンプライアンス検証専用。ネットワークトラフィック監視・分析機能はない。
- 参考: Amazon Inspector ユーザーガイド
❌ GuardDuty で AWS 管理のおとりシステムをデプロイ
- GuardDuty はデコイシステムを持たず、ログ分析型の脅威検出サービス。
- 参考: GuardDuty 機能概要
⭕️ GuardDuty で DNS リクエスト・VPC フローログを検査しトラフィックパターン分析
- GuardDuty は CloudTrail・VPC フローログ・DNS クエリを分析し、異常な通信・マルウェア拡散を検出。
- フルマネージドで運用負荷が最小。
- 参考: GuardDuty データソース
❌ Gateway Load Balancer ＋ IDS アプライアンス
- IDS でマルウェア検出は可能だが、追加インフラ・運用管理が必要で負荷大。
- 参考: Gateway Load Balancer 公式

■ 解説

■ 問題の要約

■ 選択肢と正誤理由

❌ ALB（HTTPS リスナー）で Pod IP へ転送
- ALB は HTTPS 終端（復号化）するため、エンドツーエンド暗号化要件を満たさない
- 参考: ALB 公式
⭕️ NLB（TCP リスナー）で Pod IP へ転送
- NLB は TCP レベルで暗号化トラフィックをそのまま転送可能。復号化せず mTLS 要件を満たす
- 参考: NLB 公式
❌ NLB（TLS リスナー）で Auto Scaling グループへ転送
- TLS リスナーは NLB で TLS 終端されるため、復号化されてしまう
❌ ALB（HTTPS リスナー）で Auto Scaling グループへ転送
- ALB は HTTPS 終端、ノードレベルで Pod に直接ルーティングできずスケーリング効率も低下

■ 解説

■ 参考資料

■ 問題の要約

■ 選択肢と正誤理由

❌ Traffic Mirroring でパケットキャプチャ
- 技術的には可能だが過剰。追加 EC2・コスト・運用負荷大
❌ NAT GW アクセスログを CloudWatch/S3 に発行
- NAT GW アクセスログは AWS ネイティブ機能として存在しない
⭕️ NAT GW の ENI で VPC フローログ有効化 →CloudWatch Logs で分析
- ENI 単位で VPC フローログを有効化し、CloudWatch Logs Insights で分析可能
- 参考: VPC フローログ
⭕️ NAT GW の ENI で VPC フローログ有効化 →S3 ＋ Athena で分析
- S3 に発行し Athena で分析も可能。大量データ・長期保存に適
- 参考: Athena で VPC フローログ分析

■ 解説

■ 参考資料

■ 問題の要約

■ 選択肢と正誤理由

❌ 単一 Direct Connect GW ＋全 VPC 接続
- DX GW は最大 20VGW まで。360VPC は制限超過
- 参考: Direct Connect Gateway 制限
❌ 単一 Transit GW ＋全リージョン VPC 接続
- Transit GW はリージョンリソース。複数リージョン VPC 接続は不可
⭕️ 各リージョンに Transit GW ＋ VPN 集約＋ AWS RAM 共有
- Transit GW はリージョンごとに作成し、VPN 集約・ECMP で高スループット・管理負担軽減
- 参考: Transit Gateway VPN
❌ トランジット VPC ＋ VPC ピアリング
- VPC ピアリングは推移的ルーティング不可

■ 解説

■ 参考資料