SCS-C03-KR 문제 56
한 회사가 인프라 및 애플리케이션 코드를 AWS 외부의 웹 기반 타사 Git 호환 코드 저장소에 저장하고 있습니다. 이 회사는 OpenID Connect(OIDC)를 사용하여 해당 코드 저장소가 회사 AWS 계정 내의 기존 IAM 역할을 안전하게 인증하고 수임할 수 있도록 하고자 합니다.
어떤 솔루션이 이러한 요구 사항을 충족할까요?
어떤 솔루션이 이러한 요구 사항을 충족할까요?
SCS-C03-KR 문제 57
한 회사가 Auto Scaling 그룹에 속한 Amazon EC2 인스턴스 플릿에서 웹 애플리케이션을 운영하고 있습니다. 해당 EC2 인스턴스는 다른 워크로드와 동일한 VPC 서브넷에 있습니다.
보안 엔지니어가 EC2 인스턴스와 동일한 AWS 리전에 Amazon GuardDuty 탐지기를 배포하고 GuardDuty를 AWS Security Hub와 통합합니다.
보안 엔지니어는 웹 애플리케이션의 비정상적인 트래픽 패턴을 감지하고 적절하게 대응하는 자동화 솔루션을 구현해야 합니다. 이 솔루션은 보안 사고 초기 대응에 대한 AWS 모범 사례를 준수해야 하며 웹 애플리케이션에 미치는 영향을 최소화해야 합니다.
어떤 솔루션이 이러한 요구 사항을 충족할까요?
보안 엔지니어가 EC2 인스턴스와 동일한 AWS 리전에 Amazon GuardDuty 탐지기를 배포하고 GuardDuty를 AWS Security Hub와 통합합니다.
보안 엔지니어는 웹 애플리케이션의 비정상적인 트래픽 패턴을 감지하고 적절하게 대응하는 자동화 솔루션을 구현해야 합니다. 이 솔루션은 보안 사고 초기 대응에 대한 AWS 모범 사례를 준수해야 하며 웹 애플리케이션에 미치는 영향을 최소화해야 합니다.
어떤 솔루션이 이러한 요구 사항을 충족할까요?
SCS-C03-KR 문제 58
한 회사가 서로 다른 AWS 서비스에 사용할 별도의 AWS 키 관리 서비스(AWS KMS) 키를 설정하려고 합니다. 이 회사의 보안 엔지니어는 인프라 배포 팀이 InfrastructureDeployment IAM 역할을 사용하여 암호화된 Amazon Elastic Block Store(Amazon EBS) 볼륨을 생성할 수 있도록 다음과 같은 키 정책을 생성했습니다.
{
"버전": "2012-10-17",
"ID": "key-policy-ebs",
"성명": [
{
"Sid": "IAM 사용자 권한 활성화",
"효과": "허용",
"주요한": {
"AWS": "arn:aws:iam::123456789012:root"
},
"액션": "kms:*",
"리소스": "*"
},
{
"시드": "키 사용을 허용해 주세요"
"효과": "허용",
"주요한": {
"AWS": "arn:aws:iam::123456789012:role/aws-reserved/sso.amazonaws.com/InfrastructureDeployment"
},
"행동": [
"kms:암호화",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey",
"kms:CreateGrant",
"kms:ListGrants",
"kms:RevokeGrant"
],
"리소스": "*",
"상태": {
"StringEquals": {
"kms:ViaService": "ec2.us-west-2.amazonaws.com"
}
}
}
]
}
보안 엔지니어는 최근 InfrastructureDeployment 역할 외의 다른 IAM 역할에서도 이 키를 다른 서비스에 사용하고 있다는 사실을 발견했습니다.
보안 엔지니어는 이러한 문제를 해결하기 위해 정책을 어떻게 변경해야 할까요?
{
"버전": "2012-10-17",
"ID": "key-policy-ebs",
"성명": [
{
"Sid": "IAM 사용자 권한 활성화",
"효과": "허용",
"주요한": {
"AWS": "arn:aws:iam::123456789012:root"
},
"액션": "kms:*",
"리소스": "*"
},
{
"시드": "키 사용을 허용해 주세요"
"효과": "허용",
"주요한": {
"AWS": "arn:aws:iam::123456789012:role/aws-reserved/sso.amazonaws.com/InfrastructureDeployment"
},
"행동": [
"kms:암호화",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey",
"kms:CreateGrant",
"kms:ListGrants",
"kms:RevokeGrant"
],
"리소스": "*",
"상태": {
"StringEquals": {
"kms:ViaService": "ec2.us-west-2.amazonaws.com"
}
}
}
]
}
보안 엔지니어는 최근 InfrastructureDeployment 역할 외의 다른 IAM 역할에서도 이 키를 다른 서비스에 사용하고 있다는 사실을 발견했습니다.
보안 엔지니어는 이러한 문제를 해결하기 위해 정책을 어떻게 변경해야 할까요?
SCS-C03-KR 문제 59
한 기업에서 수백 개의 AWS 계정에 걸쳐 자동 감지 기능을 갖춘 중앙 집중식 로그 모니터링 시스템이 필요합니다.
어떤 솔루션이 최소한의 운영 노력으로 이러한 요구 사항을 충족합니까?
어떤 솔루션이 최소한의 운영 노력으로 이러한 요구 사항을 충족합니까?