Courseiva
← Questions CLF-C02
Voir la question originale en anglais
MoyenneChoix unique

Question d'entraînement CLF-C02

Une entreprise utilise plusieurs comptes AWS. L'équipe de sécurité souhaite appliquer deux exigences pour tous les buckets Amazon S3 : premièrement, le chiffrement côté serveur doit être activé à l'aide d'AWS KMS ; deuxièmement, aucun bucket ne doit être publiquement accessible. L'équipe a besoin d'un service qui surveille en continu la configuration des buckets S3 sur tous les comptes, détecte lorsqu'un bucket enfreint l'une ou l'autre des exigences et applique automatiquement des mesures correctives (telles que l'activation du chiffrement par défaut ou la suppression de l'accès public). Quel service AWS l'équipe de sécurité doit-elle utiliser pour répondre à ces exigences ?

Choisissez la meilleure réponse.

Bonne réponse

  • AAWS Config

Explication

AWS Config est le service approprié car il fournit une surveillance continue, une évaluation et une correction automatisée des configurations de ressources sur plusieurs comptes. Avec les règles AWS Config (par exemple, les règles gérées telles que `s3-bucket-server-side-encryption-enabled` et `s3-bucket-public-read-prohibited`), vous pouvez détecter les buckets S3 non conformes et déclencher des documents AWS Systems Manager Automation ou des fonctions Lambda pour activer automatiquement le chiffrement par défaut ou supprimer l'accès public. AWS Config prend également en charge l'agrégation multi-compte via un agrégateur, ce qui permet à l'équipe de sécurité d'appliquer ces exigences sur tous les comptes à partir d'un seul compte de gestion.

Pourquoi chaque option est juste ou fausse

A

Juste

AWS Config

AWS Config enregistre en continu la configuration des buckets S3 sur tous les comptes et l'évalue par rapport aux règles, détectant les buckets non chiffrés ou publics. Ses actions de correction réactivent ensuite automatiquement le chiffrement par défaut AWS KMS ou suppriment l'accès public, satisfaisant ainsi aux exigences de surveillance continue et de correction automatique.

B

Fausse

AWS Trusted Advisor

Trusted Advisor propose uniquement des vérifications consultatives sur les autorisations et le chiffrement des buckets S3 ; il ne peut pas appliquer une détection continue avec une correction automatique sur tous les comptes. Il convient aux examens périodiques des meilleures pratiques, tandis qu'AWS Config avec des actions de correction ou des SCP fournit l'application de la conformité continue requise.

C

Fausse

AWS IAM Access Analyzer

IAM Access Analyzer identifie les ressources partagées en externe et génère des conclusions ; il n'évalué ni la configuration du chiffrement S3 ni ne corrige. Il est tentant car il met en évidence le risque d'accès public, mais les règles AWS Config avec des actions de correction sont celles qui détectent et corrigent automatiquement en continu les violations de chiffrement et d'accès public.

D

Fausse

AWS CloudTrail

CloudTrail enregistre l'activité des API à des fins d'audit ; il n'évalue pas la configuration des buckets et n'applique pas de corrections. Il est tentant car il couvre les comptes via un journal d'organisation, mais AWS Config avec des actions de correction effectue l'évaluation continue de la configuration et la correction automatique exigées par les besoins.

Pour aller plus loin

AWS Config enregistre en continu les configurations des ressources et les évalue par rapport aux règles AWS Config, y compris les règles gérées telles que s3-bucket-server-side-encryption-enabled et s3-bucket-public-read-prohibited. Avec un agrégateur, Config collecte les données de plusieurs comptes et Régions dans une seule vue. Les actions de correction, définies dans les configurations de correction et souvent prises en charge par des documents SSM Automation, peuvent activer automatiquement le chiffrement par défaut ou bloquer l'accès public lorsqu'une règle signale une non-conformité. Trusted Advisor propose des vérifications mais pas d'application multi-compte continue, IAM Access Analyzer se concentre sur les politiques de ressources et l'accès externe, et CloudTrail enregistre l'activité des API plutôt que l'état de la configuration. Ceci est important pour la gestion centralisée de la posture de sécurité au sein d'une AWS Organization.

À propos de ces questions d'entraînement

Cette question fait partie des questions d'entraînement CLF-C02 originales de Courseiva, rédigées pour apprendre et jamais copiées d'examens réels ou de dumps.

Traduite de l'original anglais avec l'IA et vérifiée pour le sens. Les codes d'examen, les commandes et les noms de produits sont conservés tels qu'ils apparaissent à l'examen.