【合格体験記】AWS Certified Security - Specialty (SCS-C02) に合格しました

はじめに

こんにちは！クラウド事業部の早房です。
先日 AWS Certified Security - Specialty (SCS-C02) を受験し、無事に合格いたしました。
今回は試験を受けてみての感想、および学習方法等について記事を書きます。

AWS Certified Security - Specialty (SCS-C02) について

AWS Certified Security - Specialty (SCS-C02)は、Amazon Web Services（AWS）のセキュリティに焦点を当てた専門資格です。
この資格は、AWSクラウド環境でのセキュリティに関連する高度なスキルと知識を持つプロフェッショナル向けに設計されています。
Speciality のカテゴリに分類されているので、AWS の資格試験の位置づけとしては上位の資格になっています。

出題範囲は以下のブログが大変参考になりました。
AWS Certified Security – Specialty 試験 (SCS-C02) の改訂ポイントまとめ | でっとブログ

勉強方法

学習時間

70~80時間

使用した教材

要点整理から攻略する『AWS認定セキュリティ-専門知識』
www.nri.com
AWS 認定セキュリティ - 専門知識の公式練習問題集
explore.skillbuilder.aws
Cloud Lisence cloud-license.com

勉強方法

「要点整理から攻略する『AWS認定セキュリティ-専門知識』」を 1 周読んで、出題範囲のサービスの雰囲気をつかむ
Cloud Lisence の問題を 1 周解く (約400問)
2.で間違えた問題を 1 周解く
ここまでで理解できていない部分は「要点整理から攻略する『AWS認定セキュリティ-専門知識』」や公式ドキュメント、先人の方々の記事を参考に調査
Cloud Lisence の模擬試験と公式練習問題集を解く

結果

合格 (875点)

感想

SAP-C02 取得済みであったためか、比較的スムーズに理解を進めることができました。
ただ、難易度的には簡単ではなく、ある程度の学習時間を確保する必要はあるかなと思います。
当日の試験時間は 180 分間、見直し時間も含めてかなり余裕がありますのでのんびり解けるかと思います。 ~~時間が余ったとしても分からない問題は分からないです・・・~~

もうすぐ年末に差し掛かりますが、今年中にもう一つ何か資格取得できるように頑張ります！

(おまけ)勉強メモ

筆者自身が勉強時に書き起こしたメモです。ご参考になれば幸いです。

・ SCPのpolicy記載

PrincipalとNotPrincipalは使えない。

・ IMDSv1とIMDSv2の違い

IMDSv1 : EC2のメタデータサービスでセキュリティリスク高い

IMDSv2 : EC2のメタデータサービスでメタデータへのアクセスを署名されたトークンを使用して制御するため、IMDSv1よりもセキュリティが強化されている。

・ Amazon GuardDuty

Cloudtrail、VPCフローログ、DNSログ、kubernetesログを元にアカウント内のセキュリティ状況をリアルタイムにチェックする。
悪意のあるアクティビティなどを継続的にモニタリングする脅威検出サービス。
停止する際はメンバーアカウントの関連付けの解除、検出器から全てのオプションのデータソースを無効にする。
信頼されているIPの検出結果を生成しないためには、プレーンテキスト形式でIPを記載してS3にアップロード

・ Amazon Detective

自動的にAWS CloudTrailやAmazon VPC Flow Logsなどからデータを収集し、
これらのデータからセキュリティインシデントを分析する。
セキュリティ分析者向けの視覚化ツールや関連性の強調などを提供して、迅速な調査を可能にする。
要するに、Amazon Detectiveはセキュリティインシデントの深堀りと解析を強化するサービスであり、
Amazon GuardDutyはリアルタイムでの不正行為の検出をサポートするサービス。

・ AWS System Manager Patch Manager

パッチ適用の自動化と管理。レポート生成とパッチインストールを行える。

・ Amazon Cognito

Cognito ユーザープールでLambdaトリガー設定可能。サインアップ、ユーザー確認前に独自の処理ができる。

・ AWS Artifact

コンプライアンスレポート、セキュリティ認証書、利用規約や契約書を提供する。

・ AWS WAF

ALBとCloudFront ディストリビューションと統合している。

・ AWS Singer

コードに署名ができるため、コードが変更されていないことを証明する。

・ AWS CodeGuru

コードの自動レビューができるらしい

・ IAM Access Anlyzer

バケットやIAMロールなど、外部エンティティと共有されている組織やリソースを特定する

・ Amazon Route 53 Resolver

VPC内のリソースによって行われたDNSクエリをログに記録できる。

・ S3オブジェクトロック

・ガバナンスモード
　→必要に応じて一部のユーザーにオブジェクトロックの設定変更やオブジェクトの削除を許可できる。

・コンプライアンスモード
　→rootユーザーにも制限をかけられる。オブジェクトロックの設定変更もできないのでかなり厳重。

・ AWS Audit Manager

監査およびコンプライアンスのプロセスをサポートするためのツール。
AWSのベストプラクティスに基づいた標準的な監査フレームワークを提供、ートメーションと機械学習を使用して、セキュリティコンプライアンスの評価を自動化。
アセスメントの結果はレポートとして提供され、ダッシュボード上で分析できる。

※その他

・ VPCフローログのフォーマットは作成時のみに設定可能。変更する場合は再作成が必要。  

・ カスタマーマネージドキーの削除を通知するためには、EventBridgeでDisableKeyとScheduleKeyDeletionのAPI呼び出しを監視する。  

・ CloudFormationのスタック削除保護でスタックが削除されるのを防ぐことができる。  

・ スタックポリシーは特定のprincipalを指定できない。  

・ ELBのアクセスログはS3バケットにのみストリーミングできる  

・ CloudFrontで中間者攻撃から保護するためには、SecurityHeadersPolicyをつかう  

・ セキュリティグループはリージョン内のサービスであるため別リージョンのセキュリティグループからの通信を許可するとかはできない。  

・ API GatewayのログはCloudWatchに送信することができる。  

・ Security Hubの検出結果でEventBridgeトリガーできる。   
　Security Hub → EventBridge → SNS など  

・ S3のクロスリージョンレプリカには「GetObjectVersionForReplication」が必要。 

・ S3バケットにオブジェクト所有権を設定することで、S3にアップロードされたオブジェクトを制御することができる。  
  通常オブジェクトの所有者はオブジェクトをアップロードしたユーザーになる