はじめに
AWS Solutions Architect Associate (SAA) の学習中に整理した WAF / Shield / GuardDuty / Macie / Inspector 関連の知識をまとめました。
これらは AWS のセキュリティサービス群であり、「どのサービスが何を守るか」の使い分けが試験で問われます。
本記事は個人の学習ノートをベースにしています。誤りがあればコメントでご指摘いただけると助かります。
サービス概要
セキュリティサービスの使い分け
| サービス | 役割 | 対象 |
|---|---|---|
| WAF | Web アプリ保護（L7） | CloudFront、ALB、API Gateway |
| Shield Standard | DDoS 保護（無料、自動有効） | 全 AWS リソース |
| Shield Advanced | 高度な DDoS 保護（DRT、コスト保護） | CloudFront、ALB、Route 53 等 |
| GuardDuty | 脅威検出（悪意のあるアクティビティ監視） | AWS アカウント、S3、ワークロード |
| Macie | 機密データ検出（PII 等） | S3 |
| Inspector | 脆弱性評価 | EC2、コンテナイメージ |
| Firewall Manager | 複数アカウント / リソースのセキュリティ一元管理 | WAF / SG / Shield 等 |
| Security Hub | セキュリティアラートの集約・可視化 | 複数サービス |
覚え方として、GuardDuty = 「警備員」（不審な活動を検出）、Macie = 「探偵」（機密データを見つける）、Inspector = 「検査官」（脆弱性をチェック）とイメージすると分かりやすいです。
WAF の機能
- SQL インジェクション、XSS 対策
- Geo Match（国ベースのブロック）
- IP Set（最大10,000 IP）
- Rate-Based Rule（レート制限）
Shield Standard vs Shield Advanced
| Standard | Advanced | |
|---|---|---|
| コスト | 無料 | 有料（$3,000/月〜） |
| 保護レイヤー | L3/L4 | L3/L4 + L7 |
| DRT（DDoS Response Team） | ❌ | ✅ |
| コスト保護 | ❌ | ✅（DDoS によるスケーリングコスト補償） |
WAF をデプロイできるサービス
- ✅ CloudFront、ALB、API Gateway、App Runner、Global Accelerator
- ❌ EC2（直接）、NLB、ASG
Security Group vs NACL vs WAF
| SG | NACL | WAF | |
|---|---|---|---|
| レベル | インスタンス | サブネット | CloudFront / ALB / API Gateway |
| deny ルール | ❌ 不可 | ✅ 可能 | ✅ 可能 |
| IP Match | △（許可のみ） | ✅ | ✅（最大10,000） |
セキュリティログの一元化 → Amazon Security Lake
- セキュリティデータの収集・正規化・一元化（フルマネージド）
- CloudTrail、VPC Flow Logs、GuardDuty 等からネイティブに取り込み
- OCSF で自動標準化（カスタム ETL 不要）
試験で問われる設計パターン
WAF 系
CloudFront + ALB 構成での悪意ある IP 遮断 → WAF IP Match
シナリオ: CloudFront + ALB 構成で特定の悪意ある IP アドレスからのアクセスをブロックしたいです。どの方法が最適でしょうか？
正解: WAF で IP Match Condition を作成
- SG に deny ルールはない（許可のみ）
- NACL はサブネットレベル + CloudFront 経由だと ALB には ALB の IP で到達する
- WAF ならエッジでブロックできる
EC2 アプリを WAF で保護 → CloudFront + WAF
シナリオ: EC2 上のアプリケーションを WAF で保護したいです。EC2 に直接 WAF をデプロイできますか？
正解: CloudFront（EC2 オリジン）+ WAF
- EC2 に直接 WAF は不可
- ALB に WAF をデプロイすることも可能
SQL インジェクション + XSS 対策 → WAF + CloudFront
シナリオ: アプリケーションを SQL インジェクションや XSS 攻撃から保護したいです。
正解: AWS WAF + CloudFront
- WAF = SQLi / XSS フィルタリング
- Shield = DDoS 保護（SQLi / XSS ではない）
- Firewall Manager = WAF の管理ツール
国ブロック + 特定 IP 許可 → WAF Geo Match + WAF IP Set
シナリオ: 特定の国からのアクセスをブロックしつつ、その国内の特定 IP は許可したいです。（2つ選択）
正解:
- WAF Geo Match Statement（国ブロック）
- WAF IP Set Statement（特定 IP 許可）
- ALB には Geo Match / IP Set 機能がない
- NACL は国ベースのフィルタリングに対応していない
リクエストレート制限で攻撃防止 → WAF Rate-Based Rule
シナリオ: 特定の IP アドレスから異常な数のリクエストが来ています。レート制限で対処するには？
正解: AWS WAF Rate-Based Rule
- Shield に Rate-Based Rule は設定できない
- NACL はレートベースの制御に対応していない
Shield 系
DDoS 対策 + 監査ログ + 最小アーキテクチャ変更 → Shield Advanced
シナリオ: DDoS 攻撃に対する高度な保護が必要で、監査ログも求められます。既存のアーキテクチャ変更は最小限にしたいです。
正解: AWS Shield Advanced
- 常時オンの DDoS 保護
- DRT（専門家支援）へのアクセス
- 既存 ALB に適用 → 変更最小
- GuardDuty = 脅威検出のみ（DDoS 保護ではない）
GuardDuty / Macie / Inspector 系
GuardDuty vs Macie の使い分け
シナリオ: AWS 環境のセキュリティ対策として、不正なアクティビティの検出と S3 内の機密データの検出を行いたいです。それぞれどのサービスを使うべきでしょうか？
正解:
- GuardDuty = 悪意のあるアクティビティ検出（不正な API 呼び出し、不審な通信等）
- Macie = S3 の機密データ検出（PII、クレジットカード番号等）
- Inspector = EC2 / コンテナの脆弱性スキャン
ログ一元化系
セキュリティログの一元化 + 最小開発工数 → Amazon Security Lake
シナリオ: CloudTrail、VPC Flow Logs、GuardDuty などのセキュリティログを一元化して分析したいです。開発工数を最小にするにはどのサービスが最適でしょうか？
正解: Amazon Security Lake
- OCSF で自動標準化（カスタム ETL 不要）
- Lake Formation は汎用データレイク（セキュリティ特化ではない）
- Athena + QuickSight は収集・正規化の機能がない
おわりに
セキュリティサービスの使い分けは「WAF = Web アプリ保護（SQLi/XSS）」「Shield = DDoS」「GuardDuty = 脅威検出」「Macie = 機密データ」「Inspector = 脆弱性」と覚えておけば、試験で迷うことはなくなります。特に「WAF は EC2 に直接デプロイできない」「SG に deny ルールはない」は引っかけ選択肢として頻出です。
間違いや補足があればぜひコメントで教えてください。