セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説大規模な企業の AWS 環境において、複数アカウントを横断する継続的なセキュリティ監視が求められている。GuardDuty、Security Hub、Detective を組み合わせて、検知の網羅性・調査の迅速性・コストのバランスを最適化する設計として、最も適切な構成はどれか。
AAWS Organizations を利用してセキュリティ専用アカウントを設置し、全アカウントを Security Hub の管理者アカウントに統合する。GuardDuty を全アカウント・全リージョンで有効化して検知結果を集約し、Detective も全アカウントで有効化して Security Hub と統合することで、一元的な脅威検知と迅速な根本原因分析を実現する。
正解 ⭕⭕
【正解の理由】【正解】AWS Organizations を用いたマルチアカウント管理において、Security Hub による一元管理、GuardDuty による網羅的な脅威検知、Detective による迅速な調査分析を組み合わせる構成は、AWS が推奨するベストプラクティスです。
BAWS Organizations を利用してセキュリティ専用アカウントを設置するが、Security Hub は各アカウントで個別に有効化して管理する。GuardDuty は主要リージョンのみで有効化し、Detective はコスト削減のために有効化せず、各アカウントの管理者が必要に応じて手動でログを分析する。
誤答CAWS Organizations を利用せず、各アカウントで個別に Security Hub と GuardDuty を有効化して管理する。Detective はセキュリティ専用アカウントにのみ導入し、各アカウントから VPC フローログや CloudTrail ログをセキュリティアカウントの S3 バケットに手動で転送して分析を行う。
誤答DAWS Organizations を利用してセキュリティ専用アカウントを設置し、Detective のみを全アカウント・全リージョンで有効化してグラフ分析による脅威検知を行う。GuardDuty と Security Hub は運用コストを削減するために導入せず、Detective の分析結果のみをベースに監視体制を構築する。
誤答🎯正解の決め手・公式要点まとめ
組織横断の統合ビューを実現するには、Security Hub を中心に据え、GuardDuty を全アカウント・全リージョンで活用して検知を集約、Detective を統合して根拠調査を一元化する設計が最適。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。