Courseiva
← Questions CLF-C02
Voir la question originale en anglais
MoyenneChoix unique

Question d'entraînement CLF-C02

La politique de sécurité d'une entreprise exige que tous les buckets Amazon S3 aient le chiffrement par défaut activé (SSE-S3 ou SSE-KMS). Un audit récent a révélé plusieurs buckets sans chiffrement activé. L'entreprise souhaite une solution automatisée pour surveiller en continu tous les buckets S3 existants et nouveaux, détecter tout bucket ne disposant pas du chiffrement par défaut activé, et corriger automatiquement en activant le chiffrement. La solution doit également maintenir un score de conformité et permettre à l'équipe de sécurité d'examiner les ressources non conformes. Quel service AWS l'entreprise doit-elle utiliser pour répondre à ces exigences ?

Choisissez la meilleure réponse.

Bonne réponse

  • AAWS Config avec une règle gérée (s3-bucket-server-side-encryption-enabled) et une action de correction automatique utilisant un document AWS Systems Manager Automation

Explication

AWS Config avec la règle gérée `s3-bucket-server-side-encryption-enabled` évalue en continu les buckets S3 par rapport à l'exigence de chiffrement. Lorsqu'un bucket non conforme est détecté, une action de correction automatique peut invoquer un document AWS Systems Manager Automation pour activer le chiffrement par défaut (SSE-S3 ou SSE-KMS). AWS Config fournit également un tableau de bord de score de conformité et permet à l'équipe de sécurité d'examiner les ressources non conformes, répondant ainsi à toutes les exigences énoncées.

Pourquoi chaque option est juste ou fausse

A

Juste

AWS Config avec une règle gérée (s3-bucket-server-side-encryption-enabled) et une action de correction automatique utilisant un document AWS Systems Manager Automation

AWS Config évalue en continu les configurations des ressources par rapport aux règles. La règle gérée vérifie le chiffrement par défaut des buckets S3. La correction automatique via Systems Manager Automation peut activer le chiffrement sur les buckets non conformes. Cela répond à toutes les exigences déclarées : surveillance continue, détection, correction, score de conformité et capacité de révision.

B

Fausse

Amazon GuardDuty avec un type de conclusion pour le chiffrement des buckets S3

Amazon GuardDuty est un service de détection des menaces qui identifie les activités malveillantes et les comportements non autorisés. Il ne surveille pas la conformité de la configuration telle que les paramètres de chiffrement des buckets S3, et ne fournit pas non plus de correction automatique ou de scores de conformité.

C

Fausse

AWS Trusted Advisor avec la vérification des autorisations des buckets S3

La vérification des autorisations des buckets S3 de Trusted Advisor inspecte les ACL et les politiques de bucket pour l'accès public, et non l'état du chiffrement par défaut, et elle ne peut pas corriger automatiquement ni suivre les scores de conformité du chiffrement. AWS Config avec des règles gérées et des corrections convient. Trusted Advisor convient aux examens consultatifs des meilleures pratiques, et non à une conformité continue appliquée de force.

D

Fausse

AWS CloudTrail avec un journal qui enregistre les appels d'API S3 et une alarme Amazon CloudWatch

AWS CloudTrail enregistre l'activité des API à des fins d'audit. Il ne surveille pas les configurations actuelles des ressources, n'applique pas de politiques de chiffrement et ne fournit pas de correction automatique. Les alarmes CloudWatch peuvent notifier des événements spécifiques mais ne peuvent pas détecter les états de chiffrement des buckets non conformes ni les corriger.

Pour aller plus loin

AWS Config enregistre en continu les configurations des ressources et les évalue par rapport aux règles. La règle gérée s3-bucket-server-side-encryption-enabled vérifie le paramètre de chiffrement par défaut de chaque bucket et marque les buckets non conformes. La correction est connectée via un document SSM Automation, qui peut appeler l'API S3 PutBucketEncryption pour activer automatiquement SSE-S3 ou SSE-KMS. Config calcule également un score de conformité par règle et par ressource, et la console affiche les ressources non conformes pour examen. GuardDuty détecte les menaces, et non la dérive de configuration ; Trusted Advisor propose des vérifications périodiques sans correction automatisée ; CloudTrail associé aux alarmes CloudWatch réagit aux événements d'API mais n'évalue pas l'état souhaité et ne corrige pas. Config est le service conçu pour la surveillance continue de la conformité et la correction automatique.

À propos de ces questions d'entraînement

Cette question fait partie des questions d'entraînement CLF-C02 originales de Courseiva, rédigées pour apprendre et jamais copiées d'examens réels ou de dumps.

Traduite de l'original anglais avec l'IA et vérifiée pour le sens. Les codes d'examen, les commandes et les noms de produits sont conservés tels qu'ils apparaissent à l'examen.