Uma empresa exige que todos os usuários do IAM tenham a autenticação multifator (MFA) habilitada para acesso ao AWS Management Console. A equipe de segurança precisa de uma maneira automatizada de detectar continuamente qualquer usuário do IAM sem um dispositivo MFA e gerar um relatório de conformidade. A solução não deve exigir código personalizado. Qual serviço da AWS a equipe deve usar?
Escolha a melhor resposta.
Resposta correta
O AWS Config está correto porque fornece uma avaliação baseada em regras gerenciadas das configurações de recursos da AWS. Ao habilitar a regra gerenciada 'iam-user-mfa-enabled', o AWS Config verifica continuamente todos os usuários do IAM quanto à presença de um dispositivo MFA e pode acionar automaticamente ações de remediação ou gerar relatórios de conformidade por meio de agregadores do AWS Config, tudo sem nenhum código personalizado.
AWS Config
O AWS Config é o serviço apropriado porque oferece uma regra gerenciada chamada iam-user-mfa-enabled, que avalia cada usuário do IAM e retorna um resultado de não conformidade se o MFA não estiver ativado. O Config registra continuamente as alterações nos usuários do IAM e, quando emparelhado com pacotes de conformidade, pode fornecer relatórios de conformidade automatizados e até acionar ações de remediação. Isso atende ao requisito sem exigir nenhum código personalizado.
IAM Access Analyzer
O IAM Access Analyzer foi projetado para identificar recursos, como buckets do S3, funções do IAM ou chaves do KMS, que são compartilhados com principais externos analisando políticas baseadas em recursos. Ele não inspeciona a configuração de autenticação dos usuários do IAM, incluindo se a autenticação multifactor está habilitada. O propósito do Access Analyzer é identificar acesso externo não intencional, e não impor ou auditar os requisitos de MFA para identidades.
AWS Trusted Advisor
O AWS Trusted Advisor inclui uma verificação de segurança intitulada "MFA on Root Account", que apenas verifica se o usuário raiz da conta tem o MFA habilitado. Ele não avalia o status de MFA para usuários individuais do IAM e não fornece relatórios de conformidade personalizables nem alertas para configurações de identidade. O Trusted Advisor é um painel de melhores práticas, e não um serviço contínuo de conformidade de configuração em toda a conta, portanto, não atende a este requisito.
Amazon Inspector
O Amazon Inspector é um serviço de gerenciamento de vulnerabilidades que examina continuamente instâncias do Amazon EC2, imagens de contêineres no Amazon ECR e funções do Lambda em busca de vulnerabilidades de software e exposição de rede não intencional. Ele não tem integração com a configuração de identidade do IAM e não pode ler ou avaliar configurações de autenticação em nível de usuário, como o status de MFA. Portanto, embora o Inspector seja útil para a segurança de cargas de trabalho, ele não é um mecanismo para impor ou relatar a conformidade de MFA de usuários do IAM.
O AWS Config registra continuamente a configuração dos recursos compatíveis da AWS e a avalia em relação a regras, relatando cada recurso como em conformidade ou não conforme. A AWS fornece centenas de regras gerenciadas que não precisam de código, e duas abordam diretamente o MFA: 'iam-user-mfa-enabled' verifica se cada usuário do IAM tem o MFA habilitado, e 'mfa-enabled-for-iam-console-access' verifica os usuários do IAM que possuem uma senha de console. Uma vez que uma regra é habilitada, o Config a avalia quando os recursos do IAM mudam e, dependendo da regra, periodicamente; o painel de conformidade e a linha do tempo mostram quais usuários estão em não conformidade e desde quando. Os pacotes de conformidade agrupam regras em modelos de conformidade empacotados, como as melhores práticas operacionais para o CIS, e o agregador fornece uma visão multiconnta e multi-Region. Resultados de não conformidade podem acionar notificações por meio do Amazon EventBridge ou Amazon SNS, e remediação automática por meio de documentos do Systems Manager Automation. Essa é a opção A, e ela atende a todos os requisitos: detecção automatizada e contínua, um relatório de conformidade e nenhum código personalizado. Os distratores fazem um trabalho relacionado. O IAM Access Analyzer identifica recursos compartilhados fora da sua conta ou organização e acesso não utilizado, não o status de MFA. O AWS Trusted Advisor inclui verificações de MFA para a conta raiz e algumas verificações de IAM dependendo do plano de suporte, mas é uma revisão periódica de melhores práticas em vez de relatórios de conformidade contínuos baseados em regras para cada usuário do IAM. O Amazon Inspector examina instâncias EC2, imagens de contêineres e funções Lambda em busca de vulnerabilidades de software e exposição de rede. Para o exame Cloud Practitioner, lembre-se do AWS Config para "rastrear alterações de configuração" e "avaliar a conformidade em relação a regras", e do AWS Security Hub para agregar descobertas entre serviços de segurança.
Sobre estas questões de prática
Esta é uma das questões de prática originais de CLF-C02 da Courseiva, escrita para o aprendizado e nunca copiada de provas reais nem de dumps.
Traduzida do original em inglês com IA e conferida quanto ao sentido. Códigos de exame, comandos e nomes de produtos são mantidos como aparecem na prova.