はじめに

目下わたしはAWS Security Specialty 認定資格の勉強中です。
AWSの認定資格としてはSAAにつづき2つ目となります。

自分のアウトプットを兼ねて、勉強中の内容をまとめてみようと思います。
（記事内容は2021/12時点のものとなります、ご承知おきください。）

試験について

公式資料はこのあたり。
AWS Certified Security - Specialty
試験ガイド

AWS Certified Security - Specialty(SCS-C01) 試験は、セキュリティ担当者を対象としています。この試験では、受験者が AWS プラットフォームのセキュリティ保護を理解していることをきちんと証明できるかどうかを検証します。

とのこと、出題範囲は以下5分野で65問ですが

第 1 分野: インシデントへの対応
第 2 分野: ログ記録とモニタリング
第 3 分野: インフラストラクチャのセキュリティ
第 4 分野: アイデンティティ管理とアクセス管理
第 5 分野: データ保護

65問中15問は採点対象外とか・・・そんなことあるんだ

試験対策

先人の記事も参考にさせていただきつつ
現在形で進めている内容をまとめてみます。

基本的には前回ITIL受けた時と学習方法の流れは一緒。

テキスト

要点整理から攻略する『AWS認定セキュリティ-専門知識』を読み、
普段の担当業務では触れないサービスを重点的にポイントをスプレッドシートにまとめる。
サービスがどんどんブラッシュアップされるので、ベースとしての知識をテキストから取り込む気持ちで。

問題集サイト

whizlabsのPractice Testsを購入、テスト問題を解く。
日本語版がないのは残念だけど、Google翻訳でWEBページ翻訳機能に頼りつつ解く。
（SAA受けた時、怪しい日本語との対峙も自分の中でポイントだったので、ここで英語にも慣れておく）
Udemy社の問題集も検討したけど、問題数がwhizlabsのほうが多いことからこっちに。

試験モードと練習モードがあって、練習モードだと問題ごとに答えと解説が見れるので
間違えた問題とか、気になったポイントについてはせっせとスプレッドシートにまとめつつ進める。

模擬試験

記事を参考に、模擬試験を受けました。
正答率70％だったので、またテキストと問題集サイトに戻って深堀しながら対策を進めているところ

個人的まとめ

IAMポリシー

いざ出題されるとPrincipalとResourceの違いを読み飛ばして間違えたり、混乱してしまったり；；

Principal :リソースベースのポリシーを作成する場合、指定する
- AWS アカウントおよびルートユーザー
- IAM ユーザー
- フェデレーティッドユーザー（ウェブ ID または SAML フェデレーションを使用）
- IAM ロール
- ロールを引き受けるセッション
- AWS のサービス
Resource：IAM アクセス許可ポリシーを作成する場合は、アクションが適用されるリソースのリストを指定する
- S3のバケット名
- DynamoDBのテーブル名とか

アイデンティティベースのポリシーの例も参考になると聞いたので現在読んでいるところ。

Cognito

Cognitoユーザープール：ユーザーのIDパスワードを管理するディレクトリサービス
=>認証のほう
CognitoIDプール(Federated Identities)：認証されたユーザーに一時キー（STS）を払い出しAWSリソースの操作権限を与えるフェデレーション
=>認可のほう

以下サイトの画像でイメージをつかむとわかりやすい気がする

VPC

VPCと外部の接続について

インターネットゲートウェイ:VPCとインターネット間の通信を可能にする。パブリックなアクセス。
NAT Gateway:NATはネットワークアドレス変換のこと。ソフトウェア更新などの目的でインターネットへの通信を行いたい場合に用いる(NATインスタンスも選択肢としてあるが、自前で構築する必要がある)こっちはプライベートなアクセス
VPC ピアリング：VPC同士をプライベートIPアドレス指定で相互にセキュアに通信する。
AWS Site-to-Site VPN：VPCとオンプレ機器をIPsec VPNを用いて、セキュアな接続経路を確立する

VPCとAWS他サービスの接続について

VPCエンドポイント : VPCと他AWSサービスを閉域で通信するときに使う
- インターフェースVPCエンドポイント:S3とDynamoDB
- ゲートウェイVPCエンドポイント:EC2-KMSやEC2-Kinesisとか

S3

3つのアクセスポリシー
- ユーザーポリシー
- バケットポリシー
- アクセスコントロールリスト(ACL)
クロスアカウントでオブジェクトの共有方法:AWSユーザーガイド
バケット保存時に暗号化を必須とするにはs3:PutObject のアクセス許可を付与する

"Condition": {
     "StringNotEquals": {
         "s3:x-amz-server-side-encryption": "AES256"
     }

S3は奥が深すぎてもう
この記事も読んで勉強してます

WAF

保護対象サービス：CloudFront、ALB、API Gateway、AppSync
SQLインジェクションやクロスサイトスクリプティングといった攻撃に対応

Shield Advanced

保護対象サービス：EC2、ELB、CloudFront、Global Accelerator、Route53
DDoS攻撃からの保護・DDoS攻撃に起因するコスト増加へのケア

Firewall Manager

AWS Organizationsにあるアカウントとアプリケーション全体で一元的にファイアウォールのルールを設定、管理する
ルール適用状況のチェックや設定内容の監査はConfigを用いる
以下サービスのルールを有効にできる

Firewall Managerの設定対象	設定対象が作用するリソース
WAFルール	ALB、API Gateway、CloudFront
Shield Advanced	ALB、ELB、Elastic IP、CloudFront
VPCセキュリティグループ	EC2、ALB、ENIリソースタイプのセキュリティグループを監査
AWS Network Firewall	組織内のアカウントとVPC全体にデプロイ
Route 53 Resolver DNS Firewall	組織全体にわたっての、VPCとのルール関連付け

GuardDuty

悪意のあるアクティビティなどの脅威を検出するサービス(インスタンス/アカウント/バケットの侵害)
インプットとなる情報はCloudTrail、VPCFlowLogs、DNS Logsの3種類
リアルタイム検知が必要な場合はCloudWatchイベントを使用する。

Inspector

AWSのEC2 インスタンスにおいてアプリケーションの露出、脆弱性、ベストプラクティスからの逸脱を評価(ルールの定義はAWS)

Trusted Advisor

AWSのベストプラクティスをフォローするためのアドバイスを以下5観点で受けることができる。（すべてのチェック結果確認にはビジネスサポート/エンタープライズサポートの契約が必要）

コスト
パフォーマンス
セキュリティ：
フォールトレランス(耐障害性)：可用性と冗長性
サービスクオータ（サービス制限）：サービスの上限の80%を超えていないかチェック

Security Hub

セキュリティのベストプラクティスのチェックを行い、アラートを集約し、自動修復を可能にするクラウドセキュリティ体制管理サービス

CIS AWS Foundations BenchmarkやPCI DSSといったフレームワークに沿ったチェック
GuardDuty、Macie、Inspector、Firewall Manager、IAM Access Analyzer、AWS Systems Managerといった各種AWSのセキュリティサービスやAPNセキュリティサービスの検出、アラートの一元管理

リアルタイム検知が必要な場合はCloudWatchイベントを使用する。

さいごに

受かりたーい。がんばります。

12/27追記：
12/25に受験したところ合格しました！

AWS認定試験 AWS Certified Security - Specialty(SCS)受験対策記録→合格体験記！