CLOUDORY.クラウド学習メディア

PRACTICE練習問題

Security Specialty（SCS-C03）の練習問題 100問

KMS・IAM の深部・検知（GuardDuty・Security Hub）・インシデント対応・ログの保全。 この問題は、執筆者が公式ドキュメントを出典に一から作った独自問題です。本試験の問題の再現・転載ではありません。各問に公式ドキュメントの出典を付けています。

受験日から逆算して計画する（学習プラン） ／ 試験の版・時間・受験料（AWS 認定の一覧） ／ 関連する記事: AWS Security Hub が SBOM イ...・Amazon Cognito とは何か｜ユーザープ...・別アカウントから KMS キーを使う仕組み｜キーポ...

WHAT'S INSIDE

SCS-C03 の練習問題 100問の分野と扱うサービス

SCS-C03 の試験ガイドが示す分野ごとに問題を分けています。問題数は分野の配分に合わせたもので、どの分野も公式ドキュメントを出典に作っています。

分野問題数多く扱うサービス
検知16問Amazon GuardDuty、AWS CloudTrail、AWS Organizations、Amazon S3、Amazon CloudWatch
インシデント対応14問Amazon EventBridge、AWS Lambda、AWS IAM、Amazon EC2、Amazon EBS
インフラストラクチャのセキュリティ18問Amazon VPC、AWS WAF、Amazon S3、AWS Systems Manager、AWS PrivateLink
アイデンティティとアクセス管理20問AWS IAM、Amazon S3、AWS Organizations、AWS IAM Identity Center、AWS STS
データ保護18問AWS KMS、Amazon S3、AWS Secrets Manager、AWS Certificate Manager、AWS CloudHSM
セキュリティの基盤とガバナンス14問AWS Organizations、AWS Control Tower、AWS CloudFormation、AWS Security Hub、Amazon EC2

SAMPLE QUESTIONS

SCS-C03 の見本の問題（分野ごとに1問）

全100問のうち、分野ごとに1問を答えと解説つきで載せています。残りの問題は、上の4つのモードから解けます。

検知SCS-C03 #1

80 のメンバーアカウントを持つ AWS Organizations の組織で、脅威検知サービスを全アカウントに有効化し、新しく作られるアカウントにも自動で広げ、検出結果はセキュリティ専用アカウントで一元的に確認したいと考えています。運用負荷が最も低い方法はどれですか？

  • A各アカウントに個別にサインインして Amazon GuardDuty を有効化し、検出結果を EventBridge で中央アカウントへ転送する
  • Bセキュリティ専用アカウントを Amazon GuardDuty の委任管理者に指定し、組織のメンバーアカウントへの自動有効化を設定する
  • CAWS Config アグリゲーターをセキュリティ専用アカウントに作成し、全アカウントの脅威の検出結果を集約する
  • DCloudFormation StackSets で各アカウントに GuardDuty ディテクターを作成し、メンバー招待のメールを毎回手動で承認する
答えと解説を見る

正解: B

Organizations と統合した GuardDuty では、委任管理者アカウントから既存メンバーを一括で有効化し、新規アカウントの自動有効化も設定でき、検出結果も委任管理者側に集まります。個別有効化や招待方式は手作業が残り、Config アグリゲーターは設定と準拠状況の集約であって GuardDuty の検出結果は集めません。

公式の出典

インシデント対応SCS-C03 #17

EC2 インスタンスに関する重大度の高い脅威の検出結果が出たら、人手を介さずにそのインスタンスを隔離用のセキュリティグループに切り替えたいと考えています。最も適切な構成はどれですか？

  • AAWS Config ルールの自動修復を設定し、GuardDuty の検出結果が出たときに Systems Manager Automation でインスタンスのセキュリティグループを隔離用に変更する
  • BCPU 使用率の CloudWatch アラームで Auto Scaling グループからインスタンスを外す
  • CGuardDuty の検出結果を重大度で絞り込む EventBridge ルールを作り、隔離用セキュリティグループに付け替える Lambda 関数を呼び出す
  • D検出結果を SNS でオンコール担当者にメールし、担当者がコンソールで付け替える
答えと解説を見る

正解: C

GuardDuty は検出結果を EventBridge にイベントとして送るため、重大度などで絞り込んだルールから Lambda を呼び、隔離用セキュリティグループへ自動で付け替えられます。Config ルールはリソースの設定を評価するもので、GuardDuty の検出結果を入力にしません。CPU アラームは脅威と無関係で、メール通知は自動対応になりません。

公式の出典

インフラストラクチャのセキュリティSCS-C03 #31

Web サーバーを置いたサブネットに、特定の悪意ある IP アドレス範囲からの通信だけを届かないようにしたいと考えています。その他の送信元からの通信は今までどおり許可します。最も適切な方法はどれですか？

  • Aインスタンスのセキュリティグループに、その範囲を拒否するルールを追加する
  • Bサブネットのネットワーク ACL に、その範囲を拒否するルールを許可ルールより小さい番号で追加する
  • CVPC のルートテーブルからインターネットゲートウェイへのルートを削除する
  • Dインスタンスの OS のファイアウォールで個別に拒否する
答えと解説を見る

正解: B

ネットワーク ACL は許可と拒否の両方のルールを持ち、番号の小さい順に評価されます。拒否ルールを許可より前に置けば、その範囲だけをサブネット単位で止められます。セキュリティグループは許可ルールしか書けません。ルートの削除は全通信を止め、OS のファイアウォールはインスタンスごとの管理が必要です。

公式の出典

アイデンティティとアクセス管理SCS-C03 #49

ある IAM ユーザーには s3:* を許可するアイデンティティベースのポリシーが付いています。しかし特定のバケットのオブジェクトを削除しようとすると拒否されます。バケットポリシーには、このユーザーに対する s3:DeleteObject の Deny 文があります。この結果を説明するものとして最も適切なものはどれですか？

  • Aどのポリシーでも明示的な拒否があれば、許可より優先されるため
  • Bアイデンティティベースのポリシーよりリソースベースのポリシーの許可が常に優先されるため
  • CIAM ユーザーは S3 のオブジェクトを削除できない仕様のため
  • D同じアカウント内ではバケットポリシーの評価が行われないため
答えと解説を見る

正解: A

IAM のポリシー評価では、関係するいずれかのポリシーに明示的な拒否があれば、他のポリシーの許可に関係なく拒否されます。ポリシーの種類によって許可が優先されることはなく、同じアカウント内でもバケットポリシーは評価されます。IAM ユーザーでも許可があれば削除は可能です。

公式の出典

データ保護SCS-C03 #69

管理者が IAM ポリシーで、あるカスタマーマネージドキーの kms:Decrypt を開発者に許可しました。しかし開発者の復号は拒否されます。キーポリシーにはキー管理者のロールを許可する文だけがあり、アカウントのプリンシパルに IAM ポリシーでの制御を認める文はありません。最も考えられる原因はどれですか？

  • AKMS の権限は IAM ポリシーでは一切付与できないため
  • Bkms:Decrypt には必ずグラントが必要なため
  • Cキーポリシーが IAM ポリシーの利用を許していないため
  • Dカスタマーマネージドキーは作成したユーザーしか使えないため
答えと解説を見る

正解: C

KMS キーへのアクセスはキーポリシーが基本です。キーポリシーでアカウント（のルート）を許可して IAM ポリシーの利用を有効にしていない場合、IAM ポリシーで許可しても効きません。既定のキーポリシーにはこの文が含まれます。IAM ポリシーでの付与はこの前提で可能で、グラントは必須ではなく、作成者以外も許可されれば使えます。

公式の出典

セキュリティの基盤とガバナンスSCS-C03 #87

AWS Control Tower でランディングゾーンを運用している企業が、事業で使うことを承認したリージョン以外では、グローバルなサービスを除き AWS の操作を拒否したいと考えています。最も運用負荷が低い方法はどれですか？

  • A各アカウントの IAM ポリシーにリージョンの条件を追加する
  • B承認していないリージョンの操作を CloudTrail で検知して通知する
  • C各アカウントで利用しないリージョンを手動で無効化する
  • DControl Tower のリージョン拒否のコントロールを有効化する
答えと解説を見る

正解: D

Control Tower のリージョン拒否のコントロールは SCP の形で登録済みの OU とアカウントに適用され、指定したリージョン以外での操作を、グローバルなサービスを除いて拒否します。各アカウントの IAM ポリシーの変更は漏れが出やすく、CloudTrail の検知は事後の対応です。手動の設定は新しいアカウントに追従しません。

公式の出典

READ FIRST

SCS-C03 の論点を記事で読む

ABOUT THESE QUESTIONSこの問題について

  • 試験ガイドで公開されている出題範囲の論点だけを対象に、AWS の公式ドキュメントを出典として、シナリオ・選択肢・解説をすべて新規に作っています。流出した本試験の問題の複製・翻案ではありません（編集ポリシー）
  • 試験の版が変わると論点も変わります。版はAWS 認定の一覧で追い、古くなった問題は差し替えます
  • 図のサービスのアイコンは AWS Architecture Icons（AWS 公式）を、AWS の利用条件の範囲（構成図・教材の用途）で改変せずに使っています。当サイトは AWS と提携・承認の関係にありません
  • 解答の記録はこの端末のブラウザにだけ残ります（プライバシーポリシー）
  • 誤りを見つけたら krnichi224898@gmail.com へ。問題番号（SCS-C03 の #番号）を添えてください