6つの試験ドメインをつなげる

AWS Certified Security Specialty（SCS-C02）試験は、6つのドメインで構成されています。各ドメインがどのようにつながるかを理解することは、サービスを個別に暗記するよりも重要です。

• 脅威検出とインシデント対応
• セキュリティログとモニタリング
• インフラストラクチャセキュリティ
• アイデンティティとアクセス管理
• データ保護
• 管理とセキュリティガバナンス

脅威検出とインシデント対応では、脅威の発見と対応を扱います。

• GuardDutyは検出し、Security Hubは集約し、Detectiveは調査します。
• プレイブックと自動修復によってインシデントを封じ込めます。

ここでアラートが実際の対応につながります。

セキュリティログとモニタリングは、可視性と監査証跡に関するドメインです。

• CloudTrailはAPI呼び出しを記録し、CloudWatchはメトリクスとログを監視します。
• VPC Flow LogsとConfigは、ネットワークと構成の履歴を追加します。

見えないものを保護することはできません。

インフラストラクチャセキュリティでは、ネットワークとエッジを保護します。

• VPC設計、セキュリティグループ、NACLによってトラフィックを分離します。
• WAF、Shield、Network Firewallによってエッジを防御し、トラフィックを検査します。

多層防御は、各レイヤーに適用されます。

アイデンティティとアクセス管理は、最も規模が大きく、出題数も多いドメインです。

• IAMはユーザー、ロール、ポリシーを管理し、STSは一時的な認証情報を提供します。
• Identity Center、フェデレーション、SCP、アクセス許可の境界も含まれます。

中心となるテーマは一貫して最小権限です。

データ保護では、保存中および転送中のデータを保護します。

• KMSはキーを管理し、エンベロープ暗号化によって大規模に運用できます。
• TLSにはACM、認証情報にはSecrets Manager、データ検出にはMacieを使用します。

暗号化とキー管理が、このドメインの中心です。

管理とセキュリティガバナンスでは、多数のアカウントにわたってセキュリティを拡張します。

• Organizations、Control Tower、SCP、コンフォーマンスパックを使用します。
• セキュリティ態勢とコンプライアンスには、Trusted AdvisorとAudit Managerを使用します。

このドメインでは、すべてを組織全体のポリシーに結び付けます。

各ドメインは独立しているわけではありません。1つのインシデントが6つすべてのドメインに関係することもあります。

• 検出（D1）がログ（D2）を読み取り、攻撃者がネットワーク（D3）を越え、認証情報（D4）を使ってデータ（D5）に到達します。その間、組織のガバナンス態勢（D6）が適用されます。

シナリオ問題では、複数のドメインが組み合わされます。

複数のドメインに登場するサービスもあります。

• CloudTrailは、検出、モニタリング、フォレンジックの基盤となります。
• IAMとKMSは、あらゆる場所でアクセスとデータを制御します。
• Configは、モニタリングとガバナンスを支援します。

これらは繰り返し登場するため、深く理解しておきましょう。

試験では、各ドメインに均等に配点されているわけではありません。

• アイデンティティとアクセス管理およびインフラストラクチャセキュリティの出題割合が最も大きくなっています。
• 残りをログ、検出、データ保護、ガバナンスが占めます。

学習時間も配点に応じて配分し、アイデンティティとネットワークに最も重点を置いてください。

サービスごとにフラッシュカードで学ぶのではなく、ワークフローに沿って学習してください。たとえば、GuardDutyの検出結果がどのように修復につながるか、またはKMSからディスクまでリクエストがどのように暗号化されるかを考えます。

試験では、各要素を組み合わせて現実の問題を解決する方法を理解しているかが問われます。

サービスを対応するドメインに割り当ててください。

SCS-C02の6つのドメインのつながりを学びました。

• 検出とIR、ログ、インフラストラクチャ、アイデンティティ、データ、ガバナンスです。
• これらは相互に連携しており、現実のインシデントは複数のドメインにまたがります。
• CloudTrail、IAM、KMS、Configなどの複数ドメインにまたがるサービスは、あらゆる場所で繰り返し登場します。