AWS Certified Security – Specialty参考書

脅威の検知——GuardDuty、Inspector、Macie、Detective、IAM Access Analyzer——を理解します。ログやアクティビティから脅威・脆弱性・機微データの露出を見つけます。

検出から対応へ——Security Hub、EventBridge、自動修復（Lambda/SSM Automation）、隔離——を理解します。検出を一元化し、機械的に素早く対処します。

IR の備え——プレイブック/ランブック、フォレンジック（スナップショット/隔離）、CloudTrail による証跡、侵害された資格情報の対応、最小権限の IR ロール——を理解します。事前準備で迅速・確実に対応します。

ログの設計——CloudTrail（API 監査）、VPC フローログ、S3/サービスログ、組織証跡、ログの改ざん防止——を理解します。網羅的かつ改ざん耐性のあるログ基盤を作ります。

リアルタイム監視——CloudWatch（メトリック/ログ/アラーム）、メトリックフィルター、EventBridge、Config（構成監視）、通知——を理解します。異常を即座に検知し通知します。

ログ活用——CloudWatch Logs Insights、Athena（S3 ログ）、OpenSearch、集中ログ（クロスアカウント）、保持/ライフサイクル——を理解します。大量のログから洞察を得ます。

VPC のセキュリティ——セキュリティグループ／NACL、サブネット分離、NAT/IGW、VPC エンドポイント（Gateway/Interface）、PrivateLink——を理解します。多層防御でネットワークを守ります。

アプリ層の防御——WAF、Shield（Standard/Advanced）、CloudFront、Route 53、Firewall Manager、Network Firewall——を理解します。L7 攻撃・DDoS からアプリを守ります。

コンピュート防御——Systems Manager（パッチ/セッションマネージャー）、ハードニング/ゴールデン AMI、Inspector、踏み台レス（SSM 接続）、EC2 メタデータ（IMDSv2）——を理解します。インスタンスを安全に保ちます。

アクセス制御の核——アイデンティティ/リソースベースポリシー、明示的拒否の優先、SCP、アクセス許可境界、条件キー——を理解します。「誰が何にアクセスできるか」を正確に設計します。

一時認証とフェデレーション——IAM ロール（AssumeRole）、SAML/OIDC フェデレーション、IAM Identity Center、外部 ID（ExternalId）、STS——を理解します。長期キーを排し安全に委任します。

権限の最小化——IAM Access Analyzer、アクセスアドバイザー（最終アクセス情報）、ポリシー検証、ロールの一時化、ルートユーザー保護——を理解します。過剰な権限を継続的に削ります。

保存時暗号化の核——KMS、CMK（カスタマー管理キー）、エンベロープ暗号化、キーポリシー、キーローテーション、CloudHSM——を理解します。鍵を安全に管理し、データを暗号化します。

資格情報と通信の保護——Secrets Manager（自動ローテーション）、Parameter Store（SecureString）、TLS/ACM、証明書管理——を理解します。秘密と通信を安全に扱います。

ストアの保護——S3 暗号化（SSE-S3/SSE-KMS/DSSE）、S3 公開防止/バケットポリシー、EBS/RDS 暗号化、バックアップ保護、データライフサイクル——を理解します。データを安全に保管します。

組織規模の統制——AWS Organizations／SCP、Control Tower、委任管理者、集中ログ/セキュリティアカウント、Firewall Manager——を理解します。複数アカウントに一貫したガードレールを課します。

継続的コンプライアンス——AWS Config（ルール/適合パック）、自動修復、Security Hub 標準、Audit Manager、Systems Manager——を理解します。準拠状態を継続評価し、逸脱を自動是正します。

運用面の統制——タグ戦略、Trusted Advisor、コスト異常検知、パッチ/構成のコンプライアンス、シークレットの組織管理、バックアップポリシー——を理解します。安全と運用を両立させます。