アカウント分離戦略 / インシデント対応（隔離SCP）難易度 高無料
あるメンバーアカウントで、IAMユーザーの認証情報が漏えいし外部から不正利用されている疑いが浮上した。フォレンジック調査のため証拠保全は必要だが、そのアカウント内のリソース（EC2インスタンス等）はすぐには停止・削除したくない。一方で、攻撃者によるこれ以上のAPI操作（新規リソース作成やデータ持ち出し）は即座に止めたい。この状況に最も適した初動対応を選べ。（単一選択）
- A該当アカウントを隔離用のOUへ移動し、フォレンジックに必要な限定的な読み取りアクション以外をすべてDenyする厳格なSCPを適用する。EC2インスタンス等の既存リソースは停止せず保持し証拠保全を優先する
- B該当アカウントを直ちにAWS Organizationsから削除（Close account）し、外部からの一切のアクセスを遮断する
- C疑わしいIAMユーザーのアクセスキーを無効化するだけにとどめ、アカウントレベルの追加対応は行わずログ監視を継続する
- D該当アカウント内の全EC2インスタンスを直ちに終了（terminate）し、アタッチされたEBSボリュームも削除する
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
インシデント対応における標準的な初動パターンの1つが「隔離SCP（quarantine SCP）」の適用である。
- 該当アカウントを一時的に隔離用のOU（例：
QuarantineOU）へ移動し、ごく限られた許可アクション （フォレンジックに必要な読み取り系API、IAM/Organizationsの一部管理操作等）以外を全てDenyする厳格なSCPを適用する。 - これにより既存のリソース（EC2インスタンス等）は起動したまま保持され証拠保全が可能な一方、 攻撃者（漏えいした認証情報を使う何者か）による新たなAPI呼び出しは、たとえIAMポリシー側で許可されていても SCPレベルでブロックされる。
- アカウント自体をOrganizationsから削除（Close account）したり、EC2を停止・終了させたりする対応は、 証拠保全の妨げになる（メモリ状態の消失、S3ログの削除等）ためフォレンジック観点では避けるべき初動である。
- Bアカウント削除はリソースの終了・データ消去を伴う場合があり、フォレンジック調査に必要な証拠（実行中のプロセス状態・ログ等）が失われるリスクが高い。初動としては不適切。
- C漏えいした認証情報が複数（他のIAMユーザーやロールの認証情報含む）にわたる可能性があり、単一ユーザーのキー無効化だけでは他の侵害経路が塞がれない。アカウントレベルでの包括的な遮断が必要。
- Dインスタンスの終了・ボリューム削除は証拠保全に反し、フォレンジック調査で必要となるメモリダンプ・ディスクイメージ等の揮発性/準揮発性データを失わせる。
ひっかけ： 「疑わしいアカウントは即座にOrganizationsから削除・隔離する（誤答の1つ）」という反射的対応に注意。
証拠保全（フォレンジック）の観点では、リソースを止めずにAPI操作だけをSCPで塞ぐ「隔離」が定石であり、
拙速な削除・停止は調査に必要な揮発性データ（メモリ・一時ログ等）を失わせるリスクがある。
公式ドキュメント・関連AWS Security Incident Response Guide ― Isolate the account (quarantine)↗AWS Organizations User Guide ― SCP examples: Deny access based on account↗
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）