AWS Certified Security - Specialty

決済用マイクロサービスの AWS CloudFormation テンプレートをレビューしていると、セキュリティエンジニアは PaymentApiToken というパラメータのデフォルト値に本番の API トークンが平文で記載されていることを発見した。トークンはテンプレート全体で 12 箇所（Lambda の環境変数、API Gateway のヘッダー、ECS タスク定義など）で参照されており、エンジニアはテンプレートから平文を除去しつつ、スタック操作中にこれら 12 箇所すべてで値を参照できることを維持し、シークレットが保存時に暗号化され、スタックのイベントやログに表示されないようにし、さらに 60 日ごとの自動ローテーションにも対応する必要がある。これらの要件を最もセキュアに満たす解決策はどれか？

グローバルな edtech 企業は、AWS Organizations で 15 の AWS アカウントを運用しており、パブリックまたはクロスアカウントアクセスを検出するために組織レベルで AWS Identity and Access Management (IAM) Access Analyzer を有効化しています。 セキュリティチームは、自動化されたワークフローを求めています。これは、新しく作成された IAM またはリソースポリシーが ACTIVE の Access Analyzer 検出結果をトリガーした場合に、外部プリンシパルに対して明示的な Deny を追加するよう IAM ロールの信頼ポリシーを更新して外部アクセスを是正し、5 分以内に security-ops@example.com にメール通知を送信するものです。 これらの要件を満たすために、セキュリティエンジニアはどの手順の組み合わせを実装すべきですか？（3 つ選択）

あるメディア分析企業は、Application Load Balancer の背後で Amazon EC2 インスタンス上にレイテンシに敏感な取り込み API を実行している。これらのインスタンスは Auto Scaling group に属しており、最小 6、希望容量 9 に設定され、同じ VPC 内の 3 つのプライベートサブネットに分散している。この VPC には他のワークロードもホストされている。 セキュリティチームは同じ AWS Region で Amazon GuardDuty の detector を有効化し、検出結果を AWS Security Hub と統合している。 チームは、異常な外向きトラフィックのスパイクを検知し（例: 重大度 >= 5 の GuardDuty の finding type Behavior:EC2/TrafficVolumeUnusual）、アプリケーションおよびサブネット内の無関係なリソースへの影響を最小限に抑えつつ、AWS のベストプラクティスに従った初動の封じ込めアクションを即時に実行する自動応答を実装しなければならない。 これらの要件を満たすソリューションはどれか。

あるフィンテック企業は、us-east-1 と eu-west-1 にまたがって 12 の AWS アカウントを運用しており、IMDSv1 が有効な VPC vpc-0f12abcd 内のレガシーな bastion host（EC2 インスタンス i-0abcfed12345）から instance profile credentials が漏えいした疑いがあります。組織では AWS CloudTrail に対して AWS Organizations の organization trail を有効化しており、VPC Flow Logs は Amazon CloudWatch Logs に配信されています。Amazon GuardDuty は delegated administrator account で有効化されており、PCI の証跡収集には AWS Audit Manager を使用しています。 セキュリティチームは、2025-07-04 02:10–03:05 UTC の時間枠内に、盗まれた一時的な認証情報が外部の AWS アカウントから自社環境内のリソースへアクセスするために使用されたかどうかを判定する必要があります。 この情報を最も直接的に提供できるソリューションはどれですか？

あるオンライン小売マーケットプレイスは、同社の監査アカウントの AWS Security Hub と連携するサードパーティの SaaS 型コンテナ脆弱性スキャナを使用しています。セキュリティチームは、このサードパーティ製品からの重大度ラベルが HIGH または CRITICAL の新しい検出結果が us-east-1 の Security Hub にインポートされたときに、60秒以内に自動で修復ワークフローが起動し、サーバーを管理することなく 1 分あたり最大 500 件の検出結果のバーストにも対応してスケールできることを保証する必要があります。これらの要件を満たすソリューションはどれですか？