AWS無料問題集 ＞ 図解学習
AWSセキュリティサービスを役割で整理
公開日： ｜ 更新日：
「どれか1つを選ぶ」のではなく、守る場所が違うサービスを組み合わせて多層防御するのが基本。まずは、何を見て・何を守るのかで整理します。
この記事の要点
まずは役割を具体的に比較
サービス名ではなく「何を見るサービスか」を起点にすると、実務でもCLF-C02でも迷いにくくなります。
| サービス | 具体的な役割 | 何を見る？ | こういう時に使う |
|---|---|---|---|
| IAM | ユーザー・ロール・権限を管理 | 誰が何をしてよいか | S3は閲覧だけ、EC2停止は管理者だけ、のように権限を絞る |
| KMS | 暗号化に使う鍵を作成・管理 | 暗号鍵 | S3・EBS・RDSなどの保存データを暗号化したい |
| Secrets Manager | パスワードやAPIキーなどの秘密情報を安全に保管・ローテーション | DBパスワード、APIキー等 | 認証情報をソースコードや設定ファイルへ直接書きたくない |
| AWS WAF | Webリクエストをルールで許可・ブロック | HTTP/HTTPSリクエスト | SQLインジェクション、XSS、特定IPなどWeb層の攻撃を防ぎたい |
| AWS Shield | DDoS攻撃からAWS上のサービスを保護 | 大量・異常なネットワークトラフィック | 大量アクセスでサービス停止を狙う攻撃へ備えたい |
| GuardDuty | AWS環境の不審な挙動や脅威を検出 | CloudTrail管理イベント、VPC Flow Logs、DNSログ等の信号 | 認証情報の悪用や悪性IPとの通信など「怪しい動き」を見つけたい |
| Inspector | ワークロードのソフトウェア脆弱性などを継続評価 | EC2、ECRコンテナイメージ、Lambda等 | 古いパッケージや既知の脆弱性を見つけたい |
| Macie | S3内の機密データを発見・分類 | S3オブジェクト内のデータ | 個人情報や認証情報など、S3に機密データが含まれていないか確認したい |
| Security Hub | セキュリティ検出結果とセキュリティ態勢を集約 | GuardDuty・Inspector・Macie等のFindingsや標準チェック | 複数サービスの結果を一か所で確認・優先順位付けしたい |
| CloudTrail | AWS API操作を記録 | 誰が・いつ・どのAPIを実行したか | 「誰がEC2を削除した？」「IAM設定を変えた？」を追跡したい |
| AWS Config | リソース設定の履歴を記録し、ルールへの準拠を評価 | リソースの設定状態と変更 | S3が公開設定になっていないか等を継続的に確認したい |
「どれかを選ぶ」より、役割を重ねる
例えばインターネット公開のWebサービスなら、入口でShieldとWAF、サーバー側でInspector、環境全体でGuardDuty、操作履歴はCloudTrailというように守る場所が違います。
裏側では： IAMで権限、KMSで暗号化、Secrets Managerで秘密情報、Inspectorで脆弱性、GuardDutyで不審挙動、CloudTrailで操作履歴、Configで設定状態を確認し、Security Hubに結果を集約するイメージです。
最重要：GuardDuty・Inspector・Macieの違い
| 問題文のキーワード | 選ぶサービス | 考え方 |
|---|---|---|
| 不審な挙動・脅威・悪性IP | GuardDuty | 動きを見て「怪しくないか」を検出 |
| 脆弱性・CVE・古いソフトウェア | Inspector | 攻撃される前の「弱点」を探す |
| S3・個人情報・機密データ | Macie | S3の中に「守るべきデータ」がないか探す |
一言暗記： GuardDuty = 怪しい動き / Inspector = 脆弱性 / Macie = S3の機密情報。
CloudTrail・Config・Security Hubも混同しやすい
| 知りたいこと | サービス | 例 |
|---|---|---|
| 誰が何を操作した？ | CloudTrail | 誰がIAMポリシーを変更したか調査 |
| 設定はどうなっていた？ルール違反は？ | AWS Config | S3公開設定やセキュリティグループ設定を評価 |
| セキュリティ結果をまとめて見たい | Security Hub | GuardDutyやInspector等のFindingsを集約 |
お金を気にしないなら全部採用すれば最強？
「必要な機能を重ねる」という方向性は正しいですが、使っていない領域のサービスまで無条件に有効化すれば強くなる、という話ではありません。例えばS3を使わなければMacieの優先度は低く、Webアプリを公開しなければWAFの出番も限定的です。
基本は多層防御（Defense in Depth）。IAM・ログ・暗号化などの土台を作り、その上でWeb、ワークロード、S3など自分の構成に合うサービスを追加します。
| 構成・要件 | 追加を考えるサービス |
|---|---|
| AWSアカウントの基本防御 | IAM / CloudTrail / KMS / Config / GuardDuty / Security Hub |
| EC2・ECR・Lambdaを利用 | Inspector |
| Webサービスを公開 | WAF / Shield |
| S3に機密データ | Macie |
| DBパスワード・APIキー | Secrets Manager |
試験前の5問チェック
Q1. S3内の個人情報などを検出したい。何を使う？
Q2. EC2に既知のソフトウェア脆弱性がないか確認したい。何を使う？
Q3. AWS環境で不審な通信・挙動を検出したい。何を使う？
Q4. 誰がAWS APIを実行したか追跡したい。何を使う？
Q5. GuardDutyやInspectorなどのセキュリティ結果を集約したい。何を使う？
問題で定着させる
図で理解したら、ORIVECTORの無料300問以上問題集で実際の選択問題に慣れましょう。
無料問題集を解く → 合格ロードマップ 主要サービス一覧動画で体系的に学びたい場合
文章・図解・問題演習に動画講座を組み合わせる方法もあります。
UdemyでAWS講座を探す →※ アフィリエイト広告を含みます。リンク経由の購入でORIVECTORが報酬を受け取る場合があります。購入者の追加負担はありません。