Section 6 問題集 — ネットワークセキュリティ
Q1
全プロジェクトで RDP (3389) を強制的に deny したい。組織管理者として最も適切な構成は?
A. 各プロジェクトの VPC firewall rule で deny
B. Hierarchical firewall policy を org level で deny
C. Cloud Armor edge policy で deny
D. VPC Service Controls
解答
**B**。Hierarchical firewall policy は org/folder level で配下全プロジェクトに強制。VPC level の override 不可。Q2
L7 で TLS を終端しつつ IDS/IPS で検査したい。最適な Cloud NGFW ティアは?
A. Essentials
B. Standard
C. Enterprise
D. どのティアでも可能
解答
**C**。L7 inspection (TLS 検査) と IPS は **Enterprise** のみ。Q3
egress を URL allow list で制御し、特定ドメイン (*.github.com 等) のみ許可したい。最適な機能は?
A. Cloud NAT
B. Cloud Armor
C. Secure Web Proxy
D. VPC firewall rule
解答
**C**。Secure Web Proxy は L7 で URL/Host 制御するマネージドプロキシ。Cloud NGFW Standard の FQDN object でも近いことは可能。Q4
WAF (SQLi, XSS) と DDoS 対策をエッジで行いたい (Global External Application LB)。最適な機能は?
A. Cloud Armor edge security policy + preconfigured WAF rules
B. Cloud NGFW Standard
C. VPC firewall rule
D. Secure Web Proxy
解答
**A**。Cloud Armor を Global External Application LB に attach、preconfigured `sqli-stable`, `xss-stable` を使う。Q5
Cloud NAT のポート枯渇対策として最も推奨される設定は (複数選択)?
A. Dynamic port allocation を有効化
B. Static port allocation で min-ports を 64 に下げる
C. 追加 IP を手動 pool に加える
D. endpoint-independent mapping を無効化
解答
**A, C**。両方を組み合わせるのが定石。Q6
ML ベースで突発的な DDoS を検出して自動 mitigation したい。Cloud Armor の機能は?
A. Adaptive Protection
B. Bot Management
C. Rate Limiting
D. Threat Intelligence
解答
**A**。Adaptive Protection は ML で異常検出、suggest rule を提案。Q7
2 つの VPC を NVA (Multi-NIC VM) で接続し、L7 検査を入れたい。Active/Active HA を実現する構成は?
A. NVA を直接 next-hop に指定
B. Internal Passthrough LB を NVA に向けて作成し、VPC route の next-hop-ilb に指定
C. External LB を NVA に向けて作成
D. Cloud NAT を NVA の代わりに使う
解答
**B**。Internal Passthrough LB が HA NVA の標準手法。Q8
VPC Service Controls (VPC-SC) について 正しい説明は?
A. ファイアウォール rule の集中管理
B. API レベルの境界制御 (BigQuery 等の access を制限)
C. Cloud Armor の代替
D. L7 packet inspection
解答
**B**。VPC-SC は **API レベルの境界**。L3 firewall とは別。dry-run mode で違反検出のみのテストも可。Q9
Network tag より優れた、IAM 制御可能なタグ機能は?
A. Cloud labels
B. Secure tags
C. Resource manager tags only
D. Network labels
解答
**B**。Secure tags は IAM で付与権限を制御でき、Shared VPC/NCC でも transitive。Q10
DDoS 防御を Network Passthrough Load Balancer (L4) に対しても有効にしたい。最適な機能は?
A. Cloud Armor Standard (HTTP/HTTPS のみ)
B. Cloud Armor Advanced Network DDoS Protection
C. Cloud NGFW Essentials
D. Cloud NAT