SAA ネットワークセキュリティ設計パターン4選｜WAF・Shield・GuardDuty の要件別選択基準
AWS SAA-C03 で問われるネットワークセキュリティ設計パターン4選。WAF+CloudFront（L7 Web 保護）・Shield Advanced（DDoS 強化）・GuardDuty+EventBridge（脅威検知）・多層統合防御の4パターンを要件キーワードから即断できる粒度で解説。試験頻出ひっかけと正しい打ち手も完全網羅。
「AWS のセキュリティをどう設計するか」という問いに、SAA-C03 は4パターンしか答えを持っていない。 WAF・Shield・GuardDuty はいずれも「脅威から AWS リソースを守る」サービスだが、「L7 Web 攻撃を防ぐ」「L3/L4 DDoS から守る」「異常な振る舞いを検知する」「複数の防御を組み合わせる」の軸で役割が明確に異なる。攻略の核心は**「防御レイヤー（L3/L4 vs L7）」「対象の脅威種別（DDoS vs Web 攻撃 vs 内部脅威）」「検知 vs 防御の役割分担」の3軸**で要件を分類することだ。本記事では、SAA-C03 のネットワークセキュリティ問題を即断できる4設計パターンを、要件キーワードから逆引きできる粒度で解説する。
※ 本記事はアフィリエイト広告（Amazon アソシエイト等）を含みます
📑 目次
- 結論：ネットワークセキュリティの4設計パターン
- 多層防御（Defense in Depth）の基本概念
- パターン1：WAF + CloudFront（L7 Web アプリ保護）
- パターン2：Shield Advanced（DDoS 強化防御）
- パターン3：GuardDuty + EventBridge（脅威検知・自動対応）
- パターン4：WAF + ALB + GuardDuty 多層統合防御
- サービス比較：役割・防御レイヤー・対象の違い
- 要件キーワード早見表
- 頻出ひっかけパターンと正しい打ち手
- 次のアクション チェックリスト
- 関連記事
- 関連サイト
1. 結論：ネットワークセキュリティの4設計パターン
SAA-C03 のネットワークセキュリティ問題を最短で解く骨格は、「どのレイヤーの脅威か」「検知か防御か」を先に決めることだ。
| パターン | 主な技術 | 典型的なシナリオ | 試験での見分け方 |
|---|---|---|---|
| 1. WAF + CloudFront | WAF, CloudFront | SQL インジェクション・XSS・Bot 攻撃から Web アプリを守る | 「L7」「HTTP/HTTPS」「マネージドルール」「地理ブロック」 |
| 2. Shield Advanced | Shield Advanced, SRT | DDoS 攻撃の高度な防御と 24/7 専門家対応 | 「DDoS」「L3/L4」「コスト保護」「SRT サポート」 |
| 3. GuardDuty + EventBridge | GuardDuty, EventBridge | 機械学習で脅威を継続検知、自動修復 | 「継続的な脅威検知」「異常な振る舞い」「CloudTrail 分析」 |
| 4. 多層統合防御 | WAF + ALB + GuardDuty | 本番ワークフローの多段防御 | 「多層防御」「複数のセキュリティサービス組み合わせ」 |
3つの判断軸を先に固めれば、4パターンのうちどれが正解かを即断できる。「L7 Web 攻撃」なら WAF + CloudFront、「L3/L4 DDoS」なら Shield、「異常行動の検知」なら GuardDuty という流れだ。
2. 多層防御の基本概念
Defense in Depth（多層防御）とは
AWS のセキュリティ設計は**多層防御（Defense in Depth）**を基本原則とする。単一のセキュリティ対策ではなく、複数のレイヤーで独立した防御を積み重ねる考え方だ。
多層防御の例：
ネットワーク境界
└── Shield（L3/L4 DDoS 防御）
└── CloudFront + WAF（L7 Web 攻撃フィルタリング）
└── ALB + WAF（アプリケーション層防御）
└── GuardDuty（内部脅威・異常検知）
└── AWS リソース（EC2, S3, RDS 等）3つの判断軸
| 軸 | 問い | 答えの分岐 |
|---|---|---|
| 防御レイヤー | L3/L4 か L7 か | L3/L4 → Shield、L7 → WAF |
| 脅威の種別 | DDoS か Web 攻撃か内部脅威か | DDoS → Shield、Web 攻撃 → WAF、内部脅威 → GuardDuty |
| 検知 vs 防御 | 攻撃を防ぎたいか検知したいか | 防御 → WAF/Shield、検知 → GuardDuty |
3. パターン1：WAF + CloudFront（L7 Web アプリ保護）
概要
L7（アプリケーション層）の Web 攻撃を CloudFront のエッジで防御するパターン。HTTP/HTTPS リクエストを解析して、SQL インジェクション・XSS・Bot・地理的な不正アクセスをブロックする。
インターネット
└── CloudFront（CDN + エッジキャッシュ）
├── AWS WAF（L7 フィルタリング）
│ ├── マネージドルール（AWS 管理の攻撃パターン）
│ ├── カスタムルール（IP ブロック・レートリミット）
│ └── Bot Control（Bot 攻撃の識別・ブロック）
└── オリジン（ALB / EC2 / S3 / API Gateway）WAF のルールグループ
| ルール種別 | 説明 | 典型的な用途 |
|---|---|---|
| AWS マネージドルール | AWS が管理・更新する既製ルール | SQL インジェクション・XSS・既知の脆弱性 |
| カスタムルール | 自分で条件を定義するルール | 特定 IP のブロック・レートリミット・地理制限 |
| Marketplace ルール | サードパーティが提供するルール | 業界特化の脅威インテリジェンス |
| Bot Control | Bot を識別してブロック/許可 | スクレイピング・クレデンシャルスタッフィング対策 |
試験での要件キーワード
- 「SQL インジェクション・XSS を防ぎたい」→ WAF マネージドルール
- 「特定の国からのアクセスをブロックしたい」→ WAF 地理マッチルール
- 「特定 IP の大量リクエストを制限したい」→ WAF レートベースルール
- 「CloudFront で Bot 対策をしたい」→ WAF Bot Control
4. パターン2：Shield Advanced（DDoS 強化防御）
概要
L3/L4 の大規模 DDoS 攻撃に対し、Shield Advanced で高度な防御と専門家サポートを得るパターン。Shield Standard は全 AWS 利用者に無料で常時有効。Advanced は月額 $3,000 で追加機能を提供する。
DDoS 攻撃（L3/L4）
└── AWS Shield Standard（全ユーザーに無料・自動）
└── [Advanced 加入時のみ]
├── DDoS Response Team (SRT) の 24/7 対応
├── 高度な攻撃診断・自動緩和
├── CloudFront / Route 53 / ELB / EC2 の保護
└── DDoS によるコストスパイクの保護（AWS クレジット）Shield Standard vs Advanced
| 評価項目 | Shield Standard | Shield Advanced |
|---|---|---|
| 料金 | 無料（全ユーザー自動適用） | $3,000/月（年間コミット） |
| 対象レイヤー | L3/L4 | L3/L4 + L7（WAF 連携） |
| SRT サポート | なし | 24/7 DDoS 専門家が対応 |
| コスト保護 | なし | DDoS 起因のコストスパイクを AWS がクレジット |
| 可視性 | 最小限 | 詳細なアタックレポート・CloudWatch メトリクス |
| WAF との連携 | なし | Shield Advanced が WAF ルールを自動調整 |
| 適用リソース | 自動（全リソース） | 明示的に保護対象を登録 |
試験での要件キーワード
- 「DDoS から守りたい」→ Shield Standard（コスト追加なし、常時自動）
- 「大規模な DDoS 攻撃に 24/7 専門家サポートが必要」→ Shield Advanced
- 「DDoS 攻撃によるコストスパイクの保護が必要」→ Shield Advanced のコスト保護
- 「DDoS 後の攻撃レポートが必要」→ Shield Advanced
5. パターン3：GuardDuty + EventBridge（脅威検知・自動対応）
概要
GuardDuty が機械学習で脅威を継続的に検知し、EventBridge → SNS/Lambda で自動対応するパターン。GuardDuty は「防御」ではなく「検知」専門であることが最重要ポイント。
ログソース（自動収集・追加コストなし）
├── CloudTrail（API 呼び出しの異常）
├── VPC Flow Logs（ネットワーク通信の異常）
├── DNS ログ（C2 サーバーへの通信）
├── S3 データイベント（不審なデータアクセス）
└── EKS 監査ログ（コンテナの異常動作）
↓
GuardDuty（機械学習 + 脅威インテリジェンス）
└── Finding（脅威レポート）生成
└── EventBridge
├── SNS → メール通知・Slack 通知
└── Lambda → 自動修復（IP ブロック・EC2 隔離等）GuardDuty の Findings（脅威分類）
| カテゴリ | 代表例 | 意味 |
|---|---|---|
| Backdoor | Backdoor:EC2/C&C | EC2 がマルウェアの C2 サーバーに通信 |
| Recon | Recon:EC2/PortProbeUnprotectedPort | 未保護ポートへのスキャン |
| UnauthorizedAccess | UnauthorizedAccess:IAMUser/TorIPCaller | Tor 経由での API 呼び出し |
| CryptoCurrency | CryptoCurrency:EC2/BitcoinTool.B | EC2 でマイニングツールの動作 |
試験での要件キーワード
- 「機械学習で脅威を検知したい」→ GuardDuty
- 「CloudTrail / VPC Flow Logs / DNS ログを分析して異常を発見したい」→ GuardDuty
- 「侵害された IAM クレデンシャルを検知したい」→ GuardDuty
- 「脅威検知後に自動で修復アクションを実行したい」→ GuardDuty + EventBridge + Lambda
6. パターン4：WAF + ALB + GuardDuty 多層統合防御
概要
WAF・Shield・GuardDuty・ALB を組み合わせた本番ワークフロー向けの多層防御パターン。外側から順に防御レイヤーを重ね、それぞれが異なる種別の脅威を担当する。
インターネット
│
├── Shield Standard（L3/L4 DDoS ← 常時・自動）
│
└── CloudFront
├── WAF（L7 Web 攻撃：SQLi, XSS, Bot, 地理制限）
└── ALB（ターゲットグループへの振り分け）
├── WAF（アプリケーション層の追加フィルタリング）
└── EC2 / ECS / Lambda（アプリケーション）
GuardDuty（横断的な脅威検知）
└── Finding → EventBridge → Lambda
└── WAF の IP ブロックルールを自動更新
└── EC2 セキュリティグループの自動変更GuardDuty → WAF 自動対応フロー
GuardDuty が不審な IP を検知した場合、Lambda を使って WAF の IP セットを自動更新し、以降のリクエストをブロックする仕組みが SAA で頻出。
1. GuardDuty: 不審な IP からの API 呼び出し検知（Finding 生成）
2. EventBridge: Finding をトリガーに Lambda を起動
3. Lambda: WAF の IP セットに不審 IP を追加
4. WAF: 次回リクエストから該当 IP をブロック多層防御の役割分担
| サービス | 防御レイヤー | 担当する脅威 | 自動化 |
|---|---|---|---|
| Shield Standard | L3/L4 | SYN フラッド・UDP リフレクション等の DDoS | 常時自動 |
| Shield Advanced | L3/L4 + L7 | 大規模 DDoS + SRT 対応 | 手動登録が必要 |
| WAF | L7 | SQLi / XSS / Bot / レートリミット | ルール設定が必要 |
| GuardDuty | 横断 | 内部脅威・異常な API 呼び出し・マルウェア通信 | 常時自動分析 |
7. サービス比較：役割・防御レイヤー・対象の違い
| 比較軸 | WAF | Shield Standard | Shield Advanced | GuardDuty |
|---|---|---|---|---|
| 役割 | 防御 | 防御 | 防御 | 検知のみ |
| レイヤー | L7 | L3/L4 | L3/L4（+L7） | 横断 |
| 脅威種別 | SQLi/XSS/Bot | DDoS | DDoS（高度） | 内部脅威・異常行動 |
| 有効化 | 手動（Web ACL 作成） | 自動（全ユーザー） | 手動（$3,000/月） | 手動（有効化が必要） |
| ログ | WAF ログ | なし | CloudWatch | Findings（S3/CloudWatch） |
| 自動修復 | なし | あり | あり | なし（EventBridge 連携で実現） |
8. 要件キーワード早見表
| 要件キーワード | 正解パターン |
|---|---|
| 「SQL インジェクション・XSS 対策」 | WAF マネージドルール |
| 「特定 IP をブロック」 | WAF IP マッチルール |
| 「レートリミット（大量リクエスト制限）」 | WAF レートベースルール |
| 「地理的にアクセスをブロック」 | WAF 地理マッチルール |
| 「Bot 攻撃を防ぐ」 | WAF Bot Control |
| 「DDoS 防御（追加コストなし）」 | Shield Standard（自動・無料） |
| 「DDoS 防御 + 専門家サポート + コスト保護」 | Shield Advanced |
| 「機械学習で脅威を検知」 | GuardDuty |
| 「CloudTrail の異常な API 呼び出しを検知」 | GuardDuty |
| 「EC2 のマルウェア通信を検知」 | GuardDuty |
| 「脅威検知後に自動で IP ブロック」 | GuardDuty + EventBridge + Lambda + WAF |
| 「多層防御でアプリを守る」 | WAF + Shield + GuardDuty の組み合わせ |
9. 頻出ひっかけパターンと正しい打ち手
ひっかけ①：「GuardDuty で不正アクセスをブロックできる」
× 誤り。 GuardDuty は検知専門で、ブロックは行わない。Finding を受け取って Lambda + WAF で自動ブロックする仕組みが正解。
ひっかけ②：「Shield Standard を有効化する手順を選べ」
× 誤り。 Shield Standard は全ユーザーに常時自動適用。有効化の手順は不要。
ひっかけ③：「L7 Web 攻撃に Shield を使う」
× 誤り。 Shield は L3/L4 専門。L7 の Web 攻撃（SQLi/XSS）は WAF が担当。
ひっかけ④：「GuardDuty のログソースを手動で収集する必要がある」
× 誤り。 GuardDuty は CloudTrail / VPC Flow Logs / DNS ログを自動かつ追加コストなしで収集・分析する。これらのログを別途有効化する必要はない（GuardDuty が内部で扱う）。
ひっかけ⑤：「WAF を EC2 に直接アタッチする」
× 誤り。 WAF は CloudFront / ALB / API Gateway / AppSync にアタッチできる。EC2 には直接アタッチ不可。
10. 次のアクション チェックリスト
- WAF の4種類のルール（マネージドルール・カスタムルール・Bot Control・レートベース）を説明できる
- Shield Standard と Advanced の違いを3つ以上挙げられる
- GuardDuty が分析するログソース（CloudTrail / VPC Flow Logs / DNS / S3 / EKS）を列挙できる
- GuardDuty → EventBridge → Lambda → WAF の自動対応フローを図示できる
- 「DDoS 対策は Shield、L7 Web 攻撃は WAF、脅威検知は GuardDuty」の役割分担を即答できる
11. 関連記事
- AWS WAF 完全ガイド｜Web 攻撃から守る L7 ファイアウォール
- AWS Shield Standard / Advanced 完全比較｜DDoS 防御の選び方
- Amazon GuardDuty とは？機械学習で AWS の脅威を検知
- Amazon CloudFront 設計パターン
- SAA CloudWatch/X-Ray 設計パターン4選
- SAA コスト最適化設計パターン4選