セキュリティ関連サービス

概要

AWSクラウドの責任共有モデルにおいて、AWSは基盤インフラのセキュリティを担い、利用者はクラウド上のリソースのセキュリティに責任を持ちます。AWSはその利用者側のセキュリティ対策を支援するために、暗号化・脅威検出・アクセス制御・コンプライアンスなど多様なセキュリティサービスを提供しています。

各サービスの用途と特徴を正確に覚えておくことが、CP試験合格の鍵となります。

CP試験で押さえるポイント

• Shield Standard は無料・自動有効：すべてのAWSユーザーが追加設定なしでDDoS対策の恩恵を受けられます。
• WAF vs Shield：WAFはSQLインジェクションやXSSなどのWebアプリ攻撃対策。ShieldはDDoS（大量トラフィック）対策。
• GuardDuty は脅威検出：CloudTrail・VPCフローログ等を分析して不審なアクティビティを自動検出します。
• Macie はS3の個人情報検出：S3に保存されたデータから個人情報（PII）を自動検出します。
• KMSは暗号化キー管理：S3やRDS等の暗号化に使われるマスターキーを管理します。
• Secrets Managerは認証情報の安全な管理と自動ローテーション。

各セキュリティサービスの詳細

AWS KMS（Key Management Service）

暗号化キーの作成・管理・運用を行うサービスです。S3・RDS・EBSなど多くのAWSサービスと統合されており、データの暗号化に使うキーを一元管理できます。KMSで管理するキーをCMK（Customer Managed Key）と呼びます。

AWS WAF（Web Application Firewall）

WebアプリケーションへのSQLインジェクション・クロスサイトスクリプティング（XSS）などのアプリケーション層攻撃を検出・ブロックするファイアウォールです。CloudFrontやALBと組み合わせて使います。独自のルール（IPアドレスのブロックリストなど）も設定可能です。

AWS Shield（DDoS対策）

DDoS（分散型サービス拒否）攻撃からAWSリソースを保護するサービスです。

• Shield Standard：無料・自動有効。CloudFront・Route53・ELBなどで一般的なDDoS攻撃を自動的に緩和します。
• Shield Advanced：有料。より高度なDDoS保護と、24時間体制のAWS DDoSレスポンスチーム（DRT）によるサポートを提供します。

Amazon GuardDuty（脅威検出）

CloudTrailのAPIログ・VPCフローログ・DNSログを機械学習で分析し、不審なアクティビティや潜在的な脅威を自動検出するサービスです。エージェントのインストールは不要で、有効にするだけで利用できます。

Amazon Inspector（脆弱性診断）

EC2インスタンスやコンテナイメージの脆弱性（CVE）やベストプラクティスからの逸脱を自動的にスキャンするサービスです。ソフトウェアの既知の脆弱性を検出するのに使います。

Amazon Macie（個人情報検出）

S3バケットに保存されたデータを機械学習で分析し、個人情報（PII：氏名・クレジットカード番号・パスワードなど）が含まれるデータを自動的に検出・分類します。データプライバシーコンプライアンスの対応に役立ちます。

AWS Security Hub（セキュリティ状況の一元管理）

GuardDuty・Inspector・Macie・IAM Access Analyzerなど複数のAWSセキュリティサービスからの検出結果を一か所に集約し、セキュリティ状況を一元的に把握・管理できるサービスです。

AWS Secrets Manager（認証情報管理）

データベースのパスワード・APIキーなどの認証情報（シークレット）を安全に保存・管理するサービスです。シークレットの自動ローテーション機能が特徴で、認証情報をコードにハードコーディングする必要がなくなります。

関連サービスとの違い・使い分け

「どの脅威・目的にどのサービスか」の対応表です。CP試験ではシナリオ問題でよく問われます。

WAF と Shield の違い

どちらも「攻撃からの保護」ですが、対象となる攻撃の種類が異なります。WAFはHTTPリクエストの中身（SQLインジェクションのような悪意あるコード）を検査するアプリケーション層の防御です。Shieldは大量のパケットを送り付けてサービスを停止させるDDoS攻撃（ネットワーク・トランスポート層）への防御です。

GuardDuty と Inspector の違い

GuardDutyは外部からの不審なアクセスや内部の異常な操作など「脅威の検出」に焦点を当てます。InspectorはEC2やコンテナイメージの「脆弱性診断」に焦点を当てます。どちらもセキュリティ向上のためのサービスですが、目的が異なります。