CloudTrail証跡とログファイル検証難易度 標準無料
CloudTrail証跡で「ログファイルの検証（log file validation）」を有効化した場合に得られる効果として正しいものを2つ選べ。
- ACloudTrailは1時間ごとにダイジェストファイルを生成し、各ダイジェストには直前のダイジェストのハッシュも含まれるハッシュチェーンにより、ログファイルの削除・改ざんを検知できる
- B
aws cloudtrail validate-logsCLIコマンドを使って、指定期間のログファイル群が配信後に改ざん・削除されていないかを検証できる - Cログファイル検証を有効化すると、S3に配信されるログファイルが自動的にSSE-KMSで暗号化されるようになる
- Dログファイル検証を有効化すると、IAM管理者であっても該当のCloudTrail証跡自体を無効化・削除できなくなる
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
ログファイル検証を有効化すると、CloudTrailは配信先S3バケットへログファイルを配信するたびに、 そのログファイルのSHA-256ハッシュを記録した「ダイジェストファイル」を1時間ごとに生成する。
- 各ダイジェストファイルには直前のダイジェストファイルのハッシュ値も含まれ、ハッシュチェーンを形成する。 これにより、ログファイルまたはダイジェストファイル自体が削除・改ざん・置換された場合に検知可能になる。
- 検証は
aws cloudtrail validate-logs --trail-arn <ARN> --start-time <time>のようにCLIで実行し、 指定期間のログファイル群が改ざんされていないかを機械的に確認できる。
なお、ログファイル検証はあくまで「改ざん・削除の検知」の仕組みであり、ログの暗号化はSSE-S3/SSE-KMSという別機能で提供される点、 また証跡自体の削除・無効化を防ぐものではない点に注意する。
- C暗号化はログファイル検証とは別の機能（サーバー側暗号化の設定）で有効化する必要がある。ログファイル検証は改ざん検知のみを提供する。
- D証跡自体の無効化・削除を防ぐ機能ではない。改ざんされた場合に「検知」できるのであって、操作自体を禁止するものではない（証跡の削除防止にはIAMポリシーでの制御が別途必要）。
ひっかけ： 「ログファイル検証を有効化すればログが自動的にKMSで暗号化される（C）」は誤り。暗号化はSSE-KMSの設定で別途行う必要があり、
ログファイル検証は改ざん検知のみを担う機能である。目的（暗号化 vs 改ざん検知）を混同しないこと。
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）