Courseiva
← Questões de CLF-C02
Ver a questão original em inglês
MédiaMúltipla escolha

Questão de prática de CLF-C02

A política de segurança de uma empresa exige que todos os buckets do Amazon S3 tenham a criptografia padrão ativada (SSE-S3 ou SSE-KMS). Uma auditoria recente encontrou vários buckets sem criptografia ativada. A empresa deseja uma solução automatizada para monitorar continuamente todos os buckets do S3 existentes e novos, detectar qualquer bucket que não tenha a criptografia padrão ativada e remediar automaticamente ativando a criptografia. A solução também deve manter uma pontuação de conformidade e permitir que a equipe de segurança analise recursos em não conformidade. Qual serviço da AWS a empresa deve usar para atender a esses requisitos?

Escolha a melhor resposta.

Resposta correta

  • AAWS Config com uma regra gerenciada (s3-bucket-server-side-encryption-enabled) e uma ação de remediação automática usando um documento do AWS Systems Manager Automation

Explicação

O AWS Config com a regra gerenciada `s3-bucket-server-side-encryption-enabled` avalia continuamente os buckets do S3 em relação ao requisito de criptografia. Quando um bucket em não conformidade é detectado, uma ação de remediação automática pode invocar um documento do AWS Systems Manager Automation para ativar a criptografia padrão (SSE-S3 ou SSE-KMS). O AWS Config também fornece um painel de pontuação de conformidade e permite que a equipe de segurança revise os recursos em não conformidade, atendendo a todos os requisitos declarados.

Por que cada alternativa está certa ou errada

A

Correta

AWS Config com uma regra gerenciada (s3-bucket-server-side-encryption-enabled) e uma ação de remediação automática usando um documento do AWS Systems Manager Automation

O AWS Config avalia continuamente as configurações de recursos em relação às regras. A regra gerenciada verifica a criptografia padrão do bucket S3. A remediação automática por meio do Systems Manager Automation pode habilitar a criptografia em buckets em não conformidade. Isso atende a todos os requisitos declarados: monitoramento contínuo, detecção, remediação, pontuação de conformidade e capacidade de revisão.

B

Incorreta

Amazon GuardDuty com um tipo de descoberta para criptografia de bucket do S3

O Amazon GuardDuty é um serviço de detecção de ameaças que identifica atividades maliciosas e comportamentos não autorizados. Ele não monitora a conformidade de configuração, como as configurações de criptografia de bucket do S3, nem fornece remediação automática ou pontuações de conformidade.

C

Incorreta

AWS Trusted Advisor com a verificação de permissões de bucket do S3

A verificação de permissões de bucket do S3 do Trusted Advisor inspeciona ACLs e políticas de bucket em busca de acesso público, e não do estado de criptografia padrão, e não pode corrigir automaticamente ou rastrear pontuações de conformidade de criptografia. O AWS Config com regras gerenciadas e remediação é o adequado. O Trusted Advisor é adequado para revisões consultivas de práticas recomendadas, e não para conformidade contínua aplicada.

D

Incorreta

AWS CloudTrail com um rastreamento que registra chamadas de API do S3 e um alarme do Amazon CloudWatch

O AWS CloudTrail registra a atividade da API para fins de auditoria. Ele não monitora configurações de recursos atuais, não impõe políticas de criptografia nem fornece remediação automática. Os alarmes do CloudWatch podem notificar sobre eventos específicos, mas não podem detectar estados de criptografia de bucket em não conformidade nem corrigi-los.

Para se aprofundar

O AWS Config registra continuamente as configurações de recursos e as avalia em relação às regras. A regra gerenciada s3-bucket-server-side-encryption-enabled verifica a configuração de criptografia padrão de cada bucket e marca os buckets em não conformidade. A remediação é vinculada por meio de um documento do SSM Automation, que pode chamar a API PutBucketEncryption do S3 para habilitar o SSE-S3 ou o SSE-KMS automaticamente. O Config também calcula uma pontuação de conformidade por regra e por recurso, e o console exibe os recursos em não conformidade para revisão. O GuardDuty detecta ameaças, não o desvio de configuração; o Trusted Advisor oferece verificações periódicas sem remediação automatizada; o CloudTrail com alarmes do CloudWatch reage a eventos da API, mas não avalia o estado desejado nem remedia. O Config é o serviço projetado para monitoramento de conformidade contínua e autorremediação.

Sobre estas questões de prática

Esta é uma das questões de prática originais de CLF-C02 da Courseiva, escrita para o aprendizado e nunca copiada de provas reais nem de dumps.

Traduzida do original em inglês com IA e conferida quanto ao sentido. Códigos de exame, comandos e nomes de produtos são mantidos como aparecem na prova.