Courseiva
← Questões de CLF-C02
Ver a questão original em inglês
MédiaMúltipla escolha

Questão de prática de CLF-C02

Uma empresa usa várias contas da AWS. A equipe de segurança deseja aplicar dois requisitos para todos os buckets do Amazon S3: primeiro, a criptografia do lado do servidor deve ser habilitada usando o AWS KMS; segundo, nenhum bucket pode ser acessível publicamente. A equipe precisa de um serviço que monitore continuamente a configuração dos buckets do S3 em todas as contas, detecte quando um bucket viola qualquer um dos requisitos e aplique automaticamente ações corretivas (como habilitar a criptografia padrão ou remover o acesso público). Qual serviço da AWS a equipe de segurança deve usar para atender a esses requisitos?

Escolha a melhor resposta.

Resposta correta

  • AAWS Config

Explicação

O AWS Config é o serviço correto porque fornece monitoramento contínuo, avaliação e remediação automatizada de configurações de recursos em várias contas. Com regras do AWS Config (por exemplo, regras gerenciadas como `s3-bucket-server-side-encryption-enabled` e `s3-bucket-public-read-prohibited`), você pode detectar buckets do S3 em não conformidade e acionar documentos do AWS Systems Manager Automation ou funções do Lambda para habilitar automaticamente a criptografia padrão ou remover o acesso público. O AWS Config também oferece suporte à agregação de várias contas por meio de um agregador, permitindo que a equipe de segurança aplique esses requisitos em todas as contas a partir de uma única conta de gerenciamento.

Por que cada alternativa está certa ou errada

A

Correta

AWS Config

O AWS Config registra continuamente a configuração dos buckets do S3 em todas as contas e a avalia em relação a regras, detectando buckets não criptografados ou públicos. Suas ações de remediação reabilitam automaticamente a criptografia padrão do AWS KMS ou removem o acesso público, satisfazendo os requisitos de monitoramento contínuo e correção automática.

B

Incorreta

AWS Trusted Advisor

O Trusted Advisor oferece apenas verificações consultivas sobre permissões e criptografia de buckets do S3; ele não pode impor detecção contínua com remediação automática entre contas. Ele é adequado para revisões periódicas de práticas recomendadas, enquanto o AWS Config com ações de remediação ou SCPs entrega a imposição de conformidade contínua exigida.

C

Incorreta

AWS IAM Access Analyzer

O IAM Access Analyzer identifica recursos compartilhados externamente e gera achados; ele não avalia a configuração de criptografia do S3 nem realiza remediações. Ele é atraente porque expõe riscos de acesso público, mas as regras do AWS Config com ações de remediação são o que detecta continuamente e corrige automaticamente violações de criptografia e de acesso público.

D

Incorreta

AWS CloudTrail

O CloudTrail registra atividades de API para fins de auditoria; ele não avalia a configuração de buckets nem aplica correções. Ele é atraente porque abrange contas por meio de um trilha de organização, mas o AWS Config com ações de remediação executa a avaliação contínua de configuração e a remediação automática que os requisitos exigem.

Para se aprofundar

O AWS Config registra continuamente configurações de recursos e as avalia em relação a regras do AWS Config, incluindo regras gerenciadas como s3-bucket-server-side-encryption-enabled e s3-bucket-public-read-prohibited. Com um agregador, o Config coleta dados de várias contas e Regiões em uma única visualização. Ações de remediação, definidas em configurações de remediação e frequentemente respaldadas por documentos do SSM Automation, podem habilitar automaticamente a criptografia padrão ou bloquear o acesso público quando uma regra relata não conformidade. O Trusted Advisor oferece verificações, mas nenhuma imposição contínua em várias contas, o IAM Access Analyzer foca em políticas de recursos e acesso externo, e o CloudTrail registra a atividade de API em vez do estado de configuração. Isso é importante para o gerenciamento centralizado da postura de segurança em uma AWS Organization.

Sobre estas questões de prática

Esta é uma das questões de prática originais de CLF-C02 da Courseiva, escrita para o aprendizado e nunca copiada de provas reais nem de dumps.

Traduzida do original em inglês com IA e conferida quanto ao sentido. Códigos de exame, comandos e nomes de produtos são mantidos como aparecem na prova.