ハイブリッドDNS（Route 53 Resolver DNS Firewall）難易度 高無料
セキュリティ部門から、社内の全VPC（100個以上）に対し「既知のマルウェア・ボットネットC2ドメインへのDNS解決を一律ブロックし、それ以外は通常通り解決を許可する」というポリシーを中央から適用し、かつブロックされたクエリのログを監査用に残したいという要求があった。ネットワーク機器の追加や各VPCへのアプライアンス展開を避け、運用負荷を最小にしたい。この要件を最も効率的に満たす方法として最も適切なものを選べ。（単一選択）
- ARoute 53 Resolver DNS Firewallで、AWS管理のマルウェア/ボットネットC2ドメインリストを使ったブロックルールグループを作成し、各VPCへ関連付ける。クエリログをCloudWatch Logs/S3へ出力して監査に使う
- B各VPCのセキュリティグループとネットワークACLに、既知の悪性ドメインのFQDNを拒否ルールとして登録する
- C全VPCそれぞれにAWS Network Firewallのファイアウォールエンドポイントを配置し、ドメインベースのステートフルルールでDNSクエリをフィルタリングする
- DResolverのアウトバウンドエンドポイントを無効化し、VPC内から外部ドメインへのDNSクエリ自体を一律禁止する
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
DNSクエリの内容（ドメイン名）に基づくフィルタリングはRoute 53 Resolver DNS Firewallが最も軽量かつ目的に合致する機能である。
- ドメインリストを作成し（AWS管理のマルウェア／ボットネットC2ドメインリストを利用可能）、これをブロックするルールグループを構成する。
- ルールグループを各VPCに関連付けることでDNSクエリレベルでのブロックが有効になる。ルールグループ自体は一元的に作成・更新し、関連付けだけを各VPCに対して行えばよいため、100超のVPCへも運用負荷を抑えて展開できる。
- クエリログをCloudWatch LogsやS3へ出力する設定を有効にすることで、どのクエリがブロックされたかを監査できる。
セキュリティグループやネットワークACLはIPアドレス・ポート単位の制御であり、ドメイン名に基づく制御はできない。AWS Network Firewallでもドメインフィルタリング自体は可能だが、 各VPCへファイアウォールエンドポイントを配置する必要がありインフラ・コスト・運用負荷が大きく、本問の「DNS解決の許可/拒否」という狭いスコープに対しては過剰な構成になる。
- Bセキュリティグループ・NACLはIPアドレス／ポート単位の制御であり、ドメイン名（FQDN）を直接指定してフィルタリングする機能を持たない。
- C機能的には実現可能だが、各VPCにファイアウォールエンドポイント（AZごと）を展開する必要がありインフラ・コスト・運用負荷が大きい。DNS解決の許可/拒否という狭いスコープにはDNS Firewallの方が軽量で適切。
- Dアウトバウンドエンドポイントはオンプレミスへの転送用であり無効化しても外部ドメイン解決は止まらない。また一律禁止では正常な外部ドメインの解決までできなくなり要件の「それ以外は通常通り許可」に反する。
ひっかけ： 「セキュリティグループ／NACLで対応できる」という誤解に注意。これらはL3/L4（IP・ポート）ベースの制御でありドメイン名は扱えない。
また「AWS Network Firewallを各VPCへ展開する」は機能的には可能でも、本問の"アプライアンス展開を避けたい・運用負荷最小"という条件からはより軽量なDNS Firewallが適切と判断する。
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）