CloudHSMとKMSの使い分け 専有HSM・鍵の管理責任・カスタムキーストアの選び方
暗号鍵をどこで、誰が管理するか。SCS試験では、AWS KMSとAWS CloudHSMのどちらを選ぶべきか、要件から判断できるかが問われま…
10分
SCS
件Amazon Detectiveによるインシデント調査 GuardDuty検出から原因と影響範囲を絞り込む
GuardDutyが不審な通信を検出したとき、それが何によって起きたのか、どこまで影響が及んだのかをどう調べますか。SCS試験では、検出後の…
10分
RDSとAuroraのセキュリティ設計 暗号化・IAM認証・監査ログを組み合わせる
SCSでは、データベースを「守る・認証する・記録する」の3層で設計できるかが問われます。RDSとAuroraの機能を要件から選びましょう。覚…
10分
API Gatewayの認可方式を使い分ける IAM・Cognito・Lambdaオーソライザー・JWT
SCSでは、APIの保護を認証と認可の観点で設計する問題が出ます。API Gatewayには複数の認可方式があり、呼び出し元の種類で選びます…
10分
EKSとコンテナのセキュリティ設計 ECRスキャン・IRSA・Pod Identity・ネットワークポリシーを組み合わせる
SCS-C02では、コンテナ環境のセキュリティを、イメージからランタイムまで多層で設計する力が問われます。この記事では、EKSを中心に「イメ…
10分
エッジの防御設計 AWS WAF・Shield・Firewall Managerを層で組み合わせる
SCS-C02では、インターネットに公開するアプリケーションをどう守るかが問われます。この記事では、WAF・Shield・Firewall …
10分
データ分類と自動保護の実践｜Amazon MacieとEventBridgeで機密情報検知後に自動隔離する
機密データを「見つける」だけでなく「見つけたら即座に対処する」自動化までがSCSでは重要です。「検出」「トリアージ」「自動隔離」の3つの観点…
10分
マルチアカウントの脅威検出集約設計｜GuardDuty委任管理者とSecurity Hubのリージョン集約
数十〜数百アカウントを持つ組織では、各アカウントで個別にGuardDutyやSecurity Hubを確認するのは現実的ではありません。「一…
10分
EC2への安全な運用アクセス Session Manager・IMDSv2・EC2 Instance ConnectでSSH鍵と踏み台をなくす
SCS-C02では、EC2の運用アクセスを「SSHポートを開けて鍵を配る」方式から、監査可能で認証情報を持ち回らない方式へ置き換える設計が問…
10分
データ境界の設計 VPCエンドポイントポリシー・SCP・aws:PrincipalOrgIDで組織外への流出を防ぐ
SCS-C02では、認証情報が漏えいしても「組織外のプリンシパルが自社データに触れない」「自社の認証情報で外部のバケットへ持ち出せない」とい…
10分
ルートユーザーと認証情報の保護 MFA・アクセスキー廃止・IAM Access Analyzerで棚卸しする
SCS-C02を目指す方向けに、AWSアカウントの入口である認証情報をどう守るかを整理します。試験では「ルートユーザーの保護」「長期の認証情…
10分
監査証跡の完全性設計 CloudTrailの組織トレイル・ログファイル検証・CloudTrail Lakeで証跡を守る
SCS-C02を目指す方向けに、「誰が何をしたか」の証跡を漏れなく集め、改ざんされず、後から確実に調べられる状態にする設計を解説します。試験…
10分