Questão de prática de CLF-C02

Uma empresa possui 50 usuários IAM em uma única conta da AWS. A política de segurança exige que cada usuário IAM tenha um dispositivo MFA virtual habilitado para acesso ao AWS Management Console. A empresa deseja detectar automaticamente qualquer usuário que desative ou tenha um dispositivo MFA inativo e revogar imediatamente a capacidade desse usuário de acessar os recursos da AWS, desativando suas chaves de acesso. A solução deve ser totalmente gerenciada, não exigir scripts personalizados e utilizar serviços nativos da AWS. Qual serviço da AWS a empresa deve usar para definir a regra de conformidade e acionar automaticamente a ação de correção?

Escolha a melhor resposta.

Resposta correta

AAWS Config

Explicação

O AWS Config é o serviço correto porque fornece regras gerenciadas (como a regra gerenciada `iam-user-mfa-enabled`) que avaliam continuamente as configurações dos usuários IAM em relação às políticas de conformidade. Quando um usuário desativa ou possui um dispositivo MFA virtual inativo, o AWS Config pode detectar o recurso em não conformidade e acionar automaticamente uma ação de correção por meio do AWS Systems Manager Automation, que pode desativar as chaves de acesso do usuário sem nenhum script personalizado.

Por que cada alternativa está certa ou errada

Correta

AWS Config

As regras gerenciadas do AWS Config, como 'iam-user-mfa-enabled' e 'mfa-enabled-for-iam-console-access', marcam continuamente usuários IAM sem MFA ativo como em não conformidade. Cada regra pode ter uma ação de correção, um runbook do AWS Systems Manager Automation executado automaticamente ou após aprovação, como a desativação das chaves de acesso do usuário. Tudo é gerenciado, sem código personalizado, e o histórico de conformidade é registrado para auditorias.

Incorreta

AWS Shield

O AWS Shield é um serviço gerenciado de proteção contra DDoS que defende aplicativos contra ataques nas camadas de rede e de transporte, como inundações UDP e ataques de reflexão. Ele opera na borda da rede da AWS e, mesmo com o Shield Advanced, integra-se ao AWS WAF para proteção na camada de aplicação — nunca com o IAM. O Shield não tem visibilidade das configurações de usuários IAM, do status do dispositivo MFA ou de políticas de identidade, e não pode avaliar regras de conformidade nem acionar ações de correção, como a desativação de chaves de acesso. Portanto, é totalmente irrelevante para a aplicação da conformidade de MFA em usuários IAM.

Incorreta

AWS CloudTrail

O AWS CloudTrail é um serviço de auditoria que registra chamadas de API feitas em sua conta da AWS, produzindo um histórico detalhado de eventos para governança, conformidade e solução de problemas operacionais. Embora os logs do CloudTrail possam incluir informações sobre se uma chamada autenticada por MFA foi feita, ele não avalia o estado de configuração atual dos recursos em relação a regras de conformidade e não possui nenhum mecanismo para corrigir automaticamente recursos em não conformidade. O CloudTrail é um coletor de logs passivo e não pode desativar chaves de acesso, modificar políticas de IAM ou aplicar configurações de MFA. Portanto, ele falha no requisito de verificação automatizada de conformidade e correção.

Incorreta

AWS WAF

O AWS WAF é um firewall de aplicativo web que filtra e monitora o tráfego HTTP/HTTPS destinado aos seus aplicativos web, usando regras para bloquear ataques como injeção de SQL, cross-site scripting e solicitações excessivamente grandes. Ele opera exclusivamente na camada de aplicação do tráfego de rede e não tem capacidade de ler ou modificar atributos de usuários IAM, como registro de dispositivos MFA ou status de chaves de acesso. O WAF não avalia configurações de recursos da AWS e não pode acionar ações de correção em recursos de IAM. Consequentemente, ele não pode impor políticas de MFA de usuários IAM e não é um candidato para este caso de uso.

Para se aprofundar

Os requisitos — uma regra de conformidade, detecção contínua, correção automática, totalmente gerenciada sem scripts personalizados — descrevem as regras gerenciadas do AWS Config combinadas com seu recurso de correção. O Config registra a configuração dos recursos suportados, incluindo usuários IAM, e os avalia em relação às regras. As regras gerenciadas 'iam-user-mfa-enabled' e 'mfa-enabled-for-iam-console-access' marcam os usuários IAM sem um dispositivo MFA ativo como em não conformidade. Cada regra do Config pode ter uma ação de correção: um documento do AWS Systems Manager Automation, fornecido pela AWS ou próprio, que é executado automaticamente ou mediante aprovação quando um recurso entra em não conformidade, com parâmetros como o nome do usuário passado do resultado da avaliação. A AWS fornece runbooks de automação para tarefas de IAM, como revogar ou desativar chaves de acesso, para que toda a resposta possa ser construída a partir de componentes gerenciados. Essa é a opção A. A correção deve ser testada cuidadosamente porque atua em usuários reais, por exemplo, executando-a manualmente primeiro e adicionando tentativas e notificações por meio do Amazon EventBridge ou SNS. Os distratores não estão relacionados ou estão incompletos. O AWS Shield protege contra ataques DDoS. O AWS WAF filtra solicitações HTTP para aplicativos web. O AWS CloudTrail registra chamadas de API, incluindo desativação de dispositivos MFA, sendo uma valiosa fonte de evidência, e regras do EventBridge em eventos do CloudTrail podem acionar ações, mas o CloudTrail por si só não define regras de conformidade ou correção. Como uma prática recomendada mais ampla, considere migrar pessoas de usuários IAM para o AWS IAM Identity Center com MFA imposta centralmente, e exigir MFA por meio de condições de política IAM como aws:MultiFactorAuthPresent, para que o acesso sem MFA seja negado por design em vez de corrigido posteriormente.

Sobre estas questões de prática

Esta é uma das questões de prática originais de CLF-C02 da Courseiva, escrita para o aprendizado e nunca copiada de provas reais nem de dumps.

Traduzida do original em inglês com IA e conferida quanto ao sentido. Códigos de exame, comandos e nomes de produtos são mantidos como aparecem na prova.