Pregunta de práctica de CLF-C02

Una empresa requiere que todos los usuarios de IAM tengan habilitada la autenticación multifactor (MFA) para acceder a AWS Management Console. El equipo de seguridad necesita una forma automatizada de detectar continuamente a cualquier usuario de IAM sin un dispositivo MFA y generar un informe de cumplimiento. La solución no debe requerir código personalizado. ¿Qué servicio de AWS debe usar el equipo?

Elige la mejor respuesta.

Respuesta correcta

AAWS Config

Explicación

AWS Config es correcto porque proporciona una evaluación basada en reglas administradas de las configuraciones de los recursos de AWS. Al habilitar la regla administrada 'iam-user-mfa-enabled', AWS Config verifica continuamente a todos los usuarios de IAM en busca de la presencia de un dispositivo MFA y puede activar automáticamente acciones de corrección o generar informes de cumplimiento a través de agregadores de AWS Config, todo sin necesidad de código personalizado.

Por qué cada opción es correcta o incorrecta

Correcta

AWS Config

AWS Config es el servicio apropiado porque ofrece una regla administrada llamada iam-user-mfa-enabled, que evalúa a cada usuario de IAM y devuelve un resultado de no conformidad si el MFA no está activado. Config registra continuamente los cambios en los usuarios de IAM y, cuando se combina con paquetes de conformidad, puede proporcionar informes de cumplimiento automatizados e incluso activar acciones de corrección. Esto satisface el requisito sin necesidad de código personalizado.

Incorrecta

IAM Access Analyzer

IAM Access Analyzer está diseñado para identificar recursos, como buckets de S3, roles de IAM o claves de KMS, que se comparten con directores externos mediante el análisis de políticas basadas en recursos. No inspecciona la configuración de autenticación de los usuarios de IAM, incluido si la autenticación multifactor está habilitada. El propósito de Access Analyzer es señalar el acceso externo no intencional, no aplicar o auditar los requisitos de MFA para identidades.

Incorrecta

AWS Trusted Advisor

AWS Trusted Advisor incluye una comprobación de seguridad titulada "MFA on Root Account", que solo verifica que el usuario raíz de la cuenta tenga habilitado el MFA. No evalúa el estado de MFA para usuarios individuales de IAM y no proporciona informes de cumplimiento personalizables ni alertas para configuraciones de identidad. Trusted Advisor es un panel de mejores prácticas, no un servicio continuo de cumplimiento de configuración para toda la cuenta, por lo que no cumple con este requisito.

Incorrecta

Amazon Inspector

Amazon Inspector es un servicio de gestión de vulnerabilidades que escanea continuamente instancias de Amazon EC2, imágenes de contenedores en Amazon ECR y funciones de Lambda en busca de vulnerabilidades de software y exposición de red no intencional. No tiene integración con la configuración de identidad de IAM y no puede leer ni evaluar la configuración de autenticación a nivel de usuario, como el estado de MFA. Por lo tanto, aunque Inspector es útil para la seguridad de las cargas de trabajo, no es un mecanismo para hacer cumplir o informar sobre el cumplimiento de MFA de los usuarios de IAM.

Para profundizar

AWS Config registra continuamente la configuración de los recursos de AWS compatibles y la evalúa frente a reglas, informando de cada recurso como conforme o no conforme. AWS proporciona cientos de reglas administradas que no requieren código, y dos abordan directamente el MFA: 'iam-user-mfa-enabled' verifica que cada usuario de IAM tenga MFA habilitado, y 'mfa-enabled-for-iam-console-access' verifica a los usuarios de IAM que tienen una contraseña de consola. Una vez que se habilita una regla, Config la evalúa cuando los recursos de IAM cambian y, según la regla, periódicamente; el panel de cumplimiento y la línea de tiempo muestran qué usuarios no cumplen y desde cuándo. Los paquetes de conformidad (conformance packs) agrupan reglas en plantillas de cumplimiento empaquetadas, como las mejores prácticas operativas para CIS, y el agregador ofrece una vista multi-cuenta y multi-Región. Los resultados de incumplimiento pueden activar notificaciones a través de Amazon EventBridge o Amazon SNS, y la corrección automática a través de documentos de Systems Manager Automation. Esa es la opción A, y cumple con todos los requisitos: detección automatizada y continua, un informe de cumplimiento y sin código personalizado. Los distractores realizan trabajos relacionados. IAM Access Analyzer identifica recursos compartidos fuera de su cuenta u organización y acceso no utilizado, no el estado de MFA. AWS Trusted Advisor incluye comprobaciones de MFA para la cuenta raíz y algunas comprobaciones de IAM según el plan de soporte, pero es una revisión periódica de mejores prácticas en lugar de informes de cumplimiento continuos basados en reglas para cada usuario de IAM. Amazon Inspector escanea instancias EC2, imágenes de contenedores y funciones de Lambda en busca de vulnerabilidades de software y exposición a la red. Para el examen Cloud Practitioner, recuerde AWS Config para "rastrear cambios de configuración" y "evaluar el cumplimiento frente a reglas", y AWS Security Hub para agregar hallazgos en servicios de seguridad.

Sobre estas preguntas de práctica

Esta es una de las preguntas de práctica originales de CLF-C02 de Courseiva, escrita para aprender y nunca copiada de exámenes reales ni de dumps.

Traducida del original en inglés con IA y revisada para comprobar el sentido. Los códigos de examen, los comandos y los nombres de productos se mantienen tal como aparecen en el examen.