サンプル問題集2

このページよりAWS-Solutions-Associateのオリジナル試験問題集を無料でお試し頂けます。
このページは請求アラートおよび侵入テストの総合問題についてのサンプル問題になります。

意図しない請求の発生

構築ミスによるセキュリティーインシデントにつながる事例もネット上に上がっている。

ここからが質問です。

S3導入時に SECRET KEY を共有された場所に一時的ですが保存してそのままにしていました。ある時、請求画面を確認したところ、190万円にもなっています。使用状況を確認したところ、南アメリカリージョン(サンパウロ)で 8xlarge インスタンスが20個全力で回っていました。身に覚えがない動作になります。この場合はAWSへ費用を払う義務はありますか。

また、不正アクセス以外にもテストで作成したEC2インスタンスの消し忘れで５万の請求がきてしまったなどの報告もありますので、Amazon CloudWatch を使用して AWS 料金をモニタリングできるように設定をすることをお勧めします。料金が設定した閾値を超えた場合にメールで通知させることができるので、うっかりミスをしても安心です。

具体的な方法としては、Amazon CloudWatch を使用して AWS 料金をモニタリングします。AWS サービスの使用量がしきい値を超えた場合に通知する、請求アラートを作成します。請求アラートを作成するしきい値の使用量を指定します。使用量がこれらのしきい値を超えた場合、AWS から Eメール通知が送信されます。

ここから問題です。

請求アラートを作成し、通知を登録するには、Receive Billing Alertsがオンになっている必要がありますが、デフォルトでオンになっていますか。

請求アラートをオンにしたら、Amazon CloudWatch 開発者ガイド の Amazon Cloudwatch を使用して予想請求額をモニタリングトピックの手順に従い、設定して通知をサブスクライブできます。

脆弱性の発見は止まらない

2014年にBASHの脆弱性があり、簡単な手法でリモートからプログラムを実行できることが発見された。また、HTTPSで利用されているSSLv3の脆弱性が報告され、中間者攻撃にて通信経路上で通信に介入してパケットの取得、暗号化されている通信の内容を復号することの可能性が示唆され、SSLv3の通信を無効にする動きが始まった。これに伴い古いガラケーでHTTPS通信ができなくなり会員サイトでガラケーを使用することができなくなった。

2015年3月にはSSL/TLS実装の脆弱性「FREAK」や「Poodle」といったTLSでセキュアな接続を確立するための仕組みの脆弱性を利用した攻撃が確認されている。

このように人が作成したものには完全なものはなく、今後も様々な脆弱性が発見されることになる。

侵入テスト

上記脆弱性や操作間違いの他に、データ漏えいが発生した場合は、AWS側に瑕疵があったとしても、責任はユーザ側になるという規約があります。データ漏えいが及ぼす影響は大きく、社会的信頼を失います。そのようなことにならないためにも、ユーザ自らセキュリティー対策を行うことが必要です。セキュリティー対策のひとつとして、セキュリティー診断テスト（侵入テスト）を行い安全性を確認します。

ここからが問題です。

AWSの事前申請なしに侵入テストを行っても問題ないですか。

許可のリクエスト

リソースの侵入テストまたはリソースのスキャンの許可をリクエストするには、AWS 脆弱性/侵入テストリクエストフォームに、連絡先、脆弱性スキャンに関する情報、テストを希望するインスタンスに関する情報、テストの予定開始および終了日時などを入力して申請します。終了日は開始日から 3 か月以内にする必要があります。

参考URL：
侵入テスト