Courseiva
← Questões de CLF-C02
Ver a questão original em inglês
MédiaMúltipla escolha

Questão de prática de CLF-C02

Uma empresa armazena dados financeiros confidenciais no Amazon S3. A política de segurança da empresa exige que todos os dados sejam criptografados em repouso usando uma chave que a empresa cria e gerencia, com a capacidade de rotacionar a chave anualmente. A empresa também precisa de uma trilha de auditoria de quando a chave foi usada e por qual serviço da AWS. Qual solução a empresa deve usar para atender a esses requisitos?

Escolha a melhor resposta.

Resposta correta

  • BUsar criptografia do lado do servidor com chaves gerenciadas pelo cliente do AWS KMS (SSE-KMS).

Explicação

O SSE-KMS com uma chave gerenciada pelo cliente (CMK) permite que a empresa crie e gerencie sua própria chave de criptografia, habilite a rotação automática anual de chaves por meio do AWS KMS e fornece logs de auditoria detalhados do CloudTrail de cada chamada de API do KMS (por exemplo, Decrypt, GenerateDataKey) mostrando qual serviço ou usuário da AWS usou a chave. Isso atende a todos os requisitos declarados: chave gerenciada pelo cliente, rotação anual e trilha de auditoria.

Por que cada alternativa está certa ou errada

A

Incorreta

Usar criptografia do lado do servidor com chaves gerenciadas pelo S3 (SSE-S3).

O SSE-S3 usa chaves gerenciadas pela AWS que não podem ser rotacionadas pelo cliente e não fornecem uma trilha de auditoria detalhada do uso de chaves por meio do CloudTrail. Embora forneça criptografia em repouso, ele não atende ao requisito de rotação e auditoria de chaves gerenciadas pelo cliente.

B

Correta

Usar criptografia do lado do servidor com chaves gerenciadas pelo cliente do AWS KMS (SSE-KMS).

O SSE-KMS com chaves gerenciadas pelo cliente permite que a empresa crie, possua e rotacione chaves anualmente por meio do KMS, e cada uso criptográfico é registrado no CloudTrail, identificando o serviço da AWS chamado. Isso atende às restrições de criptografia em repouso, controle de chaves e trilha de auditoria.

C

Incorreta

Usar criptografia do lado do servidor com chaves fornecidas pelo cliente (SSE-C).

O SSE-C exige que o cliente forneça a chave de criptografia a cada solicitação, mas o Amazon S3 não armazena a chave. O cliente deve gerenciar a chave separadamente (por exemplo, rotação, armazenamento), o que não se alinha com o requisito de que o S3 gerencie a chave sob o controle do cliente. Além disso, o SSE-C não fornece rotação de chaves integrada nem auditoria integrada do CloudTrail para a própria chave.

D

Incorreta

Usar criptografia do lado do cliente com uma chave gerenciada pelo AWS KMS.

A criptografia do lado do cliente criptografa os dados antes que eles sejam enviados para o Amazon S3. A chave de criptografia é gerenciada pelo aplicativo cliente, não pelo S3. Embora o AWS KMS possa ser usado como fonte de chaves, a criptografia ocorre fora do S3 e a empresa é responsável por implementar a lógica de criptografia. Isso adiciona complexidade e não aproveita os recursos nativos de criptografia do lado do servidor do S3.

Para se aprofundar

O SSE-KMS com uma chave gerenciada pelo cliente permite que você controle a política de chave, habilite a rotação anual automática e cada chamada Encrypt/Decrypt seja registrada no AWS CloudTrail com o principal do serviço solicitante, satisfazendo o requisito de auditoria. Um comportamento sutil: o S3 envia o ARN da chave na solicitação e, se o chamador não tiver kms:Decrypt ou kms:GenerateDataKey, a solicitação falhará mesmo se a política do IAM do S3 permitir; além disso, as solicitações do KMS estão sujeitas a cotas por segundo, portanto, cargas de trabalho de alto rendimento podem precisar de chaves de bucket do S3 para reduzir as chamadas do KMS. O SSE-C usa uma chave fornecida por você em cada solicitação e não produz nenhuma trilha de uso de chave do CloudTrail, enquanto o SSE-S3 usa uma chave gerenciada pela AWS que você não pode rotacionar ou auditar, portanto, nenhuma das duas atende à política declarada.

Sobre estas questões de prática

Esta é uma das questões de prática originais de CLF-C02 da Courseiva, escrita para o aprendizado e nunca copiada de provas reais nem de dumps.

Traduzida do original em inglês com IA e conferida quanto ao sentido. Códigos de exame, comandos e nomes de produtos são mantidos como aparecem na prova.