Courseiva
← Preguntas de CLF-C02
Ver la pregunta original en inglés
MediaOpción múltiple

Pregunta de práctica de CLF-C02

La política de seguridad de una empresa requiere que todos los buckets de Amazon S3 tengan el cifrado predeterminado habilitado (SSE-S3 o SSE-KMS). Una auditoría reciente encontró varios buckets sin el cifrado habilitado. La empresa desea una solución automatizada para monitorear continuamente todos los buckets de S3 existentes y nuevos, detectar cualquier bucket que no tenga el cifrado predeterminado habilitado y remediar automáticamente habilitando el cifrado. La solución también debe mantener una puntuación de cumplimiento y permitir que el equipo de seguridad revise los recursos no conformes. ¿Qué servicio de AWS debe utilizar la empresa para cumplir con estos requisitos?

Elige la mejor respuesta.

Respuesta correcta

  • AAWS Config con una regla administrada (s3-bucket-server-side-encryption-enabled) y una acción de remediación automática utilizando un documento de AWS Systems Manager Automation

Explicación

AWS Config con la regla administrada `s3-bucket-server-side-encryption-enabled` evalúa continuamente los buckets de S3 frente al requisito de cifrado. Cuando se detecta un bucket que no cumple con las normas, una acción de remediación automática puede invocar un documento de AWS Systems Manager Automation para habilitar el cifrado predeterminado (SSE-S3 o SSE-KMS). AWS Config también proporciona un panel de puntuación de cumplimiento y permite al equipo de seguridad revisar los recursos no conformes, cumpliendo con todos los requisitos establecidos.

Por qué cada opción es correcta o incorrecta

A

Correcta

AWS Config con una regla administrada (s3-bucket-server-side-encryption-enabled) y una acción de remediación automática utilizando un documento de AWS Systems Manager Automation

AWS Config evalúa continuamente las configuraciones de los recursos frente a las reglas. La regla administrada comprueba el cifrado predeterminado de los buckets de S3. La remediación automática a través de Systems Manager Automation puede habilitar el cifrado en buckets no conformes. Esto cumple con todos los requisitos indicados: monitoreo continuo, detección, remediación, puntuación de cumplimiento y capacidad de revisión.

B

Incorrecta

Amazon GuardDuty con un tipo de hallazgo para el cifrado de buckets de S3

Amazon GuardDuty es un servicio de detección de amenazas que identifica actividad maliciosa y comportamiento no autorizado. No monitorea el cumplimiento de la configuración, como la configuración de cifrado de los buckets de S3, ni proporciona remediación automática o puntuaciones de cumplimiento.

C

Incorrecta

AWS Trusted Advisor con la comprobación de permisos de buckets de S3

La comprobación de permisos de buckets de S3 de Trusted Advisor inspecciona las ACL y las políticas de buckets en busca de acceso público, no del estado de cifrado predeterminado, y no puede autorremediar ni realizar un seguimiento de las puntuaciones de cumplimiento de cifrado. AWS Config con reglas administradas y remediación es la opción adecuada. Trusted Advisor es adecuado para revisiones consultivas de mejores prácticas, no para el cumplimiento continuo impuesto.

D

Incorrecta

AWS CloudTrail con un rastro que registra las llamadas a la API de S3 y una alarma de Amazon CloudWatch

AWS CloudTrail registra la actividad de la API con fines de auditoría. No monitorea las configuraciones actuales de los recursos, no aplica políticas de cifrado ni proporciona remediación automática. Las alarmas de CloudWatch pueden notificar sobre eventos específicos, pero no pueden detectar estados de cifrado de buckets no conformes ni corregirlos.

Para profundizar

AWS Config registra continuamente las configuraciones de los recursos y las evalúa frente a las reglas. La regla administrada s3-bucket-server-side-encryption-enabled comprueba la configuración de cifrado predeterminado de cada bucket y marca los buckets no conformes. La remediación se vincula a través de un documento de SSM Automation, que puede llamar a la API S3 PutBucketEncryption para habilitar SSE-S3 o SSE-KMS automáticamente. Config también calcula una puntuación de cumplimiento por regla y por recurso, y la consola muestra los recursos no conformes para su revisión. GuardDuty detecta amenazas, no la deriva de configuración; Trusted Advisor ofrece comprobaciones periódicas sin remediación automatizada; CloudTrail junto con las alarmas de CloudWatch reaccionan a los eventos de API pero no evalúan el estado deseado ni remedian. Config es el servicio diseñado para el monitoreo de cumplimiento continuo y la autorremediación.

Sobre estas preguntas de práctica

Esta es una de las preguntas de práctica originales de CLF-C02 de Courseiva, escrita para aprender y nunca copiada de exámenes reales ni de dumps.

Traducida del original en inglés con IA y revisada para comprobar el sentido. Los códigos de examen, los comandos y los nombres de productos se mantienen tal como aparecen en el examen.