インシデント対応とフォレンジック 検知から隔離・調査までの手順を設計する

SCS-C02 の出題領域には「インシデントレスポンス」が明確に含まれており、単なるサービス名の暗記ではなく手順の正しい順番が問われます。侵害されたEC2インスタンスへの対応を例に、標準的な流れを押さえましょう。

覚え方は「検知・封じ込め・保全・復旧」

インシデント対応は4段階です。検知＝GuardDuty や Security Hub が異常を知らせる、封じ込め＝被害の拡大を止める、保全＝調査のために証拠を壊さず確保する、復旧＝クリーンな状態に戻す。試験では「最初に取るべき行動は」という聞き方で、封じ込めと保全の順番が問われます。

各段階の具体的な打ち手

封じ込めでは、インスタンスを停止するのではなく、通信を遮断する隔離用セキュリティグループ（インバウンドもアウトバウンドも許可なし）に付け替え、Auto Scaling グループからデタッチします。停止するとメモリ上の証拠が失われるためです。保全では、EBSスナップショットを取得し、可能ならメモリダンプを先に採取します。インスタンスプロファイルのロールは、セッションを無効化するために信頼ポリシーを差し替えるかポリシーをデタッチします。調査は、スナップショットから作成したボリュームを解析用の別アカウントのインスタンスにアタッチして行い、CloudTrail と VPCフローログ、Amazon Detective で関連する挙動をたどります。

チェックリスト

• インシデント対応の4段階を順番に言える
• 停止ではなく隔離を選ぶ理由（メモリ証拠の保全）を説明できる
• EventBridge と Lambda による自動隔離の構成を描ける
• 解析は別アカウントで行うという原則を説明できる
• 証跡保護に S3 Object Lock を使う理由を説明できる

まとめ

インシデント対応は「検知・封じ込め・保全・復旧」の順番が命で、証拠を壊さない手順を選べるかが分かれ目です。 理解度の確認にはクイズが便利です。試験範囲や申し込みの最新情報はAWS認定 公式ページもあわせて確認してください。