STAY KOBE

[SolutionArchitect Pro] AWS VPC セキュリティ – セキュリティグループ 対 NACLs –

Atsushi Marumo

AWS VPC セキュリティ概要

セキュリティグループ

接続のトラッキング

NACLs

AWS認定試験の練習問題

  1. インスタンス A とインスタンス B は、VPC の2つの異なるサブネット A および B で実行されています。インスタンス A はインスタンス B に対して ping を実行できません。これには2つの理由が考えられます。(正解2を選ぶ)
    1. サブネット A のルーティングテーブルには、サブネット B へのターゲットルートがありません
    2. インスタンス B に接続されているセキュリティグループは、受信 ICMP トラフィックを許可しません。
    3. インスタンス A の IAM ロールにリンクされているポリシーが正しく構成していません
    4. サブネット B 上の NACL は、送信 ICMP トラフィックを許可しません
  2. インスタンスは、すべての着信トラフィックを許可し、すべての送信トラフィックを拒否するように構成されたネットワーク ACL を持つ VPC サブネットに起動されます。インスタンスのセキュリティグループは、任意の IP アドレスからの SSH を許可し、すべての送信トラフィックを拒否するように構成されています。インスタンスへの SSH アクセスを許可するために、どのような変更を行う必要があるか。
    1. 送信トラフィックを許可するには、送信セキュリティグループを変更する必要があります。
    2. 発信ネットワーク ACL は、送信トラフィックを許可するように変更する必要があります。
    3. 何も、それは SSH を使用して任意の IP アドレスからアクセスすることができます。
    4. 送信トラフィックを許可するには、送信セキュリティグループと送信ネットワーク ACL の両方を変更する必要があります。
  3. どのサービスから着信/発信IPをブロックできますか？
    1. Security Groups
    2. DNS
    3. ELB
    4. VPC subnet
      1, IGW
    5. NACL
  4. VPC 内のセキュリティグループと VPC 内のネットワーク ACL の違いは何ですか (3 つの正解を選択)
    1. ACL が EC2 へのトラフィックを制限している間、セキュリティグループがサブネットへのアクセスを制限する
    2. ACL がサブネットへのトラフィックを制限している間、セキュリティグループは EC2 へのアクセスを制限する
    3. セキュリティグループは VPC の外部でも動作しますが、ACL は VPC 内でのみ機能します
    4. ネットワーク ACL はステートレスフィルタリングを実行し、セキュリティグループはステートフルフィルタリングを提供します
    5. セキュリティグループは許可ルールのみを設定できますが、ACL は拒否ルールも設定できます。
  5. 現在、VPC で複数のアプリケーションをホストしており、特定の IP アドレスブロックから入ってくる多数のポートスキャンをログに記録しています。セキュリティチームは、問題のある IP アドレスブロックからのすべてのアクセスを次の24時間拒否するように要求しました。指定された IP アドレスブロックからのアクセスを迅速かつ一時的に拒否する最良の方法は、次のうちどれですか。
    1. AD ポリシーを作成して、VPC 内のすべてのホストの Windows ファイアウォール設定を変更して、IP アドレスブロックからのアクセスを拒否する。
    2. VPC 内のすべてのパブリックサブネットに関連付けられているネットワーク ACL を変更して、IP アドレスブロックからのアクセスを拒否する。
    3. すべての VPC 5 セキュリティグループにルールを追加して、IP アドレスブロックからのアクセスを拒否する。
    4. 組織がその VPC で使用しているすべての Amazon マシンイメージ (AMI) の Windows ファイアウォール設定を、IP アドレスブロックからのアクセスを拒否するように変更します。
  6. 同じアベイラビリティーゾーン (AZ) 内の仮想プライベートクラウド (VPC) 内に、異なるサブネット内に2つの Elastic コンピューティングクラウド (EC2) インスタンスがあります。1つのインスタンスは、データベースと他のインスタンスを実行して、データベースとインターフェイスするアプリケーションです。アプリケーションが正常に動作するために、互いに話すことができることを確認する必要があります。これらの EC2 インスタンスが vpc 内で通信できるように、vpc 設定で確認する必要がある2つの点はどれですか。2つの回答を選択。
    1. 2つのサブネット間の通信を可能にするネットワーク ACL
    2. どちらのインスタンスも同じインスタンスクラスで、同じキーペアを使用します。
    3. 既定のルートが、通信するための NAT インスタンスまたはインターネットゲートウェイ (IGW) に設定されていること。
    4. セキュリティグループは、アプリケーションホストが適切なポート/プロトコルでデータベースと通信できるように設定されています。
  7. 福利厚生登録会社は、パブリック Web 層に NAT（Network Address Translation） インスタンスを含む AWS 上の VPC で動作する3層 Web アプリケーションをホストしています。 CloudWatch などの監視ツールを使用して調査した結果、新しい会計年度の給付登録期間に追加のオーバーヘッドと予想されるワークロードのプロビジョニングされた容量が十分にあり、さらに 2 日間の登録がうまくいってからWeb層が応答しなくなります。 有益な会社に顧客がいない国からのポート 80 を介した 15 の特定の IP アドレスのセットから来る着信トラフィックの非常に大きく予想外の量。 Web 層インスタンスは非常にオーバーロードされているため、登録管理者は SSH を使用することはできません。 どの活動がこの攻撃に対して防御するのに役立つでしょうか？
    1. Web 層に関連付けられたカスタムルートテーブルを作成し、攻撃する IP アドレスを IGW (インターネットゲートウェイ) からブロックする。
    2. web 層サブネット内の NAT インスタンスの EIP (Elastic IP アドレス) を変更し、メインルートテーブルを新しい eip で更新します。
    3. ポート80を介して攻撃の IP アドレスをブロックする15のセキュリティグループのルールを作成します。
    4. Web 層サブネットに関連付けられた受信 NACL (ネットワークアクセス制御リスト) を作成し、拒否ルールを使用して攻撃する IP アドレスをブロックします。
  8. 次のステートメントのうち、ネットワーク ACL について説明します。(2 つの回答を選択)
    1. 許可された着信トラフィックに対する応答は、発信ルールに関係なく発信することが許可され、その逆も同様です (ステートレスである)
    2. ネットワーク ACL を使用すると、特定の IP 範囲からのアクセスを拒否できます。
    3. ネットワーク ACL ルールをシンプルに保ち、セキュリティグループを使用してアプリケーションレベルのアクセスを制限する
    4. NACLs が単一のアベイラビリティーゾーンに関連付けられている (サブネットに関連付けられている)
  9. VPC 内でセキュリティを設計しています。別のセキュリティゾーンを確立し、異なるゾーン間でネットワークトラフィックルールを適用して、インスタンスが通信できるように制限するためのオプションを検討しています。 どのようにこれらの要件を達成するか?2つの回答を選択
    1. 各ゾーンのセキュリティグループを構成します。既定の [すべての規則を許可する] を構成します。互いに通信できないゾーンの明示的な拒否規則を構成する (セキュリティグループは拒否ルールを許可しません)
    2. IP アドレスの範囲がセキュリティゾーンごとにあらかじめ設定された IP アドレスを使用するようにインスタンスを構成します。interzone 通信に必要な、異なる IP アドレス範囲間の通信を明示的に許可または拒否するように NACL を構成する
    3. 各ゾーンのセキュリティグループを構成します。互いに通信できるようにする必要があるゾーン間でのみ、許可ルールを構成します。暗黙の deny すべてのルールを使用して他のトラフィックをブロックする
    4. VPC 内の複数のサブネットを、ゾーンごとに1つずつ構成します。各サブネットが通信する必要がある他のサブネットへのルートだけを持ち、通信できないサブネットへのルートを持たないような方法で、VPC 内のルーティングを構成します。(デフォルトのルートは変更)
  10. AWS インフラストラクチャ全体が1つの Amazon VPC の内部に住んでいます。リージョンのアベイラビリティーゾーン (AZ) A の Amazon インスタンスで実行されているインフラストラクチャ監視アプリケーションと、AZ-B で実行されている別のアプリケーションインスタンスがあります。監視アプリケーションは、ICMP ping を使用して、アプリケーションをホストしているインスタンスのネットワーク到達可能性を確認する必要があります。これらのインスタンスのセキュリティグループを構成して、監視インスタンスからアプリケーションインスタンスだけに ICMP ping を渡すことができますか？それ以外は何もありませんか？
    1. 2つの異なる AZ の2つのインスタンスは、そのプロトコルがサブネット (すなわちブロードキャスト) 境界を越えて許可されないので、ICMP ping を介して互いに直接話すことができません (通信できる)
    2. はい、監視インスタンスとアプリケーションインスタンスの両方が同じセキュリティグループの一部である必要があり、そのセキュリティグループは受信 ICMP を許可する必要があります (同じセキュリティグループの一部である必要はありません)。
    3. はい、監視インスタンスのセキュリティグループは送信 ICMP を許可する必要があり、アプリケーションインスタンスのセキュリティグループは受信 ICMP を許可する必要があります (ステートフルなので、監視対象のインスタンスの送信 ICMP と受信 ICMP を許可するだけです)。
    4. はい、監視インスタンスのセキュリティグループとアプリケーションインスタンスのセキュリティグループの両方が、ICMP が接続指向のプロトコルではないため、受信および送信の両方の ICMP ping パケットを許可する必要があります (セキュリティグループはステートフルです)
  11. ユーザーが新しいサブネットを持つ VPC を構成しました。ユーザーがセキュリティグループを作成しました。ユーザーは、同じサブネットのインスタンスが互いに通信するように構成する必要があります。ユーザーはどのようにセキュリティグループでこれを構成できますか。
    1. すべてのインスタンスが同じサブネット内で互いに通信できるため、セキュリティグループの変更は必要ありません。
    2. サブネットをセキュリティグループのソースとして構成し、すべてのプロトコルとポートのトラフィックを許可する
    3. セキュリティグループ自体をソースとして構成し、すべてのプロトコルとポートでトラフィックを許可する
    4. ユーザーは、VPC ピアを使用してこれを構成する
  12. VPC 環境用のデータ漏洩防止ソリューションを設計しています。 VPC インスタンスが製品アップデートのためにインターネット上のソフトウェアデポとディストリビューションにアクセスできるようにします。 ディポとディストリビューションは、サードパーティの CDN から URL でアクセスできます。 VPC インスタンスからインターネット上のホストへの他のアウトバウンド接続を明示的に拒否したい場合。 次のうちどれを検討しますか？
    1. VPC で Web プロキシサーバーを構成し、送信アクセス用の URL ベースのルールを適用する既定のルートを削除します。(セキュリティグループと NACL は、ルール内の URL を持つことはできませんまた、ルートはありません)
    2. セキュリティグループを実装し、ソフトウェアデポへのトラフィックのみを許可するように送信ルールを構成します。
    3. すべてのインスタンスをプライベート VPC サブネットに移動すると、すべてのルーティングテーブルからデフォルトルートが削除され、特定のルートがソフトウェアデポと配布にのみ追加されます。
    4. すべての特定の宛先にネットワークアクセス制御リストを実装し、ルールとして暗黙的に拒否します。
  13. EC2 セキュリティグループには、いくつかの実行中の EC2 インスタンスがあります。新しいポートとプロトコルで受信トラフィックを許可するようにセキュリティグループの規則を変更し、同じセキュリティグループ内に複数の新しいインスタンスを起動します。新しいルールが適用されます。
    1. セキュリティグループ内のすべてのインスタンスに直ちに。
    2. すぐに新しいインスタンスにのみ。
    3. 新しいインスタンスにすぐに、新しいルールが適用される前に古いインスタンスを停止して再起動する必要があります。
    4. すべてのインスタンスに対して、古いインスタンスが変更を確認するのに数分かかる場合があります。

Jayendra’s Blog

この記事は自己学習用に「AWS VPC Security – Security Group vs NACLs – Certification（Jayendra’s Blogより）」を日本語に訳した記事です。