Courseiva
← Preguntas de CLF-C02
Ver la pregunta original en inglés
MediaOpción múltiple

Pregunta de práctica de CLF-C02

Una empresa utiliza varias cuentas de AWS. El equipo de seguridad desea aplicar dos requisitos para todos los buckets de Amazon S3: primero, el cifrado del lado del servidor debe estar habilitado utilizando AWS KMS; segundo, ningún bucket debe ser públicamente accesible. El equipo necesita un servicio que supervise continuamente la configuración de los buckets de S3 en todas las cuentas, detecte cuando un bucket infringe cualquiera de los requisitos y aplique automáticamente acciones correctivas (como habilitar el cifrado predeterminado o eliminar el acceso público). ¿Qué servicio de AWS debe utilizar el equipo de seguridad para cumplir con estos requisitos?

Elige la mejor respuesta.

Respuesta correcta

  • AAWS Config

Explicación

AWS Config es el servicio correcto porque proporciona monitoreo continuo, evaluación y remediación automatizada de las configuraciones de recursos en múltiples cuentas. Con las reglas de AWS Config (por ejemplo, reglas administradas como `s3-bucket-server-side-encryption-enabled` y `s3-bucket-public-read-prohibited`), puede detectar buckets de S3 no conformes y activar documentos de AWS Systems Manager Automation o funciones de Lambda para habilitar automáticamente el cifrado predeterminado o eliminar el acceso público. AWS Config también admite la agregación multicuenta a través de un agregador, lo que permite al equipo de seguridad aplicar estos requisitos en todas las cuentas desde una única cuenta de gestión.

Por qué cada opción es correcta o incorrecta

A

Correcta

AWS Config

AWS Config registra continuamente la configuración de los buckets de S3 en todas las cuentas y la evalúa frente a las reglas, detectando los buckets no cifrados o públicos. Sus acciones de remediación vuelven a habilitar automáticamente el cifrado predeterminado de AWS KMS o eliminan el acceso público, satisfaciendo tanto los requisitos de monitoreo continuo como de autocorrección.

B

Incorrecta

AWS Trusted Advisor

Trusted Advisor ofrece únicamente comprobaciones de asesoramiento sobre los permisos y el cifrado de los buckets de S3; no puede aplicar una detección continua con remediación automática en todas las cuentas. Es adecuado para revisiones periódicas de mejores prácticas, mientras que AWS Config con acciones de remediación o SCP ofrece la aplicación de cumplimiento continuo requerida.

C

Incorrecta

AWS IAM Access Analyzer

IAM Access Analyzer identifica los recursos compartidos externamente y genera hallazgos; no evalúa la configuración de cifrado de S3 ni aplica correcciones. Es tentador porque expone el riesgo de acceso público, pero las reglas de AWS Config con acciones de remediación son las que detectan y corrigen automáticamente de forma continua tanto el cifrado como las infracciones de acceso público.

D

Incorrecta

AWS CloudTrail

CloudTrail registra la actividad de la API con fines de auditoría; no evalúa la configuración de los buckets ni aplica correcciones. Es tentador porque abarca cuentas a través de un rastro de organización, pero AWS Config con acciones de remediación realiza la evaluación continua de la configuración y la remediación automática que exigen los requisitos.

Para profundizar

AWS Config registra continuamente las configuraciones de los recursos y las evalúa frente a las reglas de AWS Config, incluidas las reglas administradas como s3-bucket-server-side-encryption-enabled y s3-bucket-public-read-prohibited. Con un agregador, Config recopila datos de múltiples cuentas y Regiones en una sola vista. Las acciones de remediación, definidas en las configuraciones de remediación y respaldadas a menudo por documentos de SSM Automation, pueden habilitar automáticamente el cifrado predeterminado o bloquear el acceso público cuando una regla informa un incumplimiento. Trusted Advisor ofrece comprobaciones pero no una aplicación multicuenta continua, IAM Access Analyzer se centra en las políticas de recursos y el acceso externo, y CloudTrail registra la actividad de la API en lugar del estado de configuración. Esto es importante para la gestión centralizada de la postura de seguridad en una AWS Organization.

Sobre estas preguntas de práctica

Esta es una de las preguntas de práctica originales de CLF-C02 de Courseiva, escrita para aprender y nunca copiada de exámenes reales ni de dumps.

Traducida del original en inglés con IA y revisada para comprobar el sentido. Los códigos de examen, los comandos y los nombres de productos se mantienen tal como aparecen en el examen.