30 preguntas de práctica gratuitas de AWS SCS-C02

Una empresa necesita una solución de registro forense para cientos de aplicaciones basadas en Docker que se ejecutan en Amazon EC2. La solución debe analizar los registros en tiempo real, permitir la reproducción de mensajes y conservar los registros. ¿Qué servicios de Amazon Web Offerings (IAM) deben emplearse para cumplir estos requisitos? (Elija DOS.)

Una empresa ha desarrollado una aplicación con AWS Lambda, Amazon S3, Amazon Simple Notification Service (Amazon SNS) y Amazon DynamoDB. Una aplicación externa deposita objetos en el bucket S3 de la empresa y los etiqueta con la fecha y la hora. Una función Lambda extrae periódicamente datos del bucket S3 de la empresa según las etiquetas de fecha y hora e inserta valores concretos en una tabla de DynamoDB para su posterior procesamiento. Los datos incluyen información de identificación personal (PII). La empresa debe eliminar del bucket S3 y de la tabla de DynamoDB los datos con más de 30 días de antigüedad. ¿Qué solución cumple este requisito con la MAYOR eficiencia operativa?

Una empresa hospeda un sitio web estático en Amazon S3. Ha configurado una distribución de Amazon CloudFront para servir el contenido del sitio. La empresa ha asociado una ACL web de IAM WAF a la distribución de CloudFront. Esa ACL web garantiza que las solicitudes procedan de Estados Unidos para cumplir determinadas restricciones normativas. A la empresa le preocupa que la URL de S3 siga siendo accesible directamente y que las solicitudes puedan eludir la distribución de CloudFront. ¿Qué combinación de pasos debe seguir la empresa para eliminar el acceso directo a la URL de S3? (Elija DOS.)

Una empresa está probando su plan de respuesta ante incidentes por credenciales comprometidas. La empresa ejecuta una base de datos en una instancia Amazon EC2 y almacena las credenciales sensibles de la base de datos como un secreto en AWS Secrets Manager. El secreto tiene configurada la rotación mediante una función AWS Lambda que usa la plantilla de función de rotación genérica. La instancia EC2 y la función Lambda están implementadas en la misma subred privada. La VPC tiene un punto de conexión de VPC de Secrets Manager. Un ingeniero de seguridad descubre que el secreto no puede rotar. Determina que el punto de conexión de VPC funciona según lo previsto. Los registros de Amazon CloudWatch contienen el siguiente error: «setSecret: Unable to log into database». ¿Qué solución resolverá este error?

Una empresa necesita una solución de registro forense para cientos de aplicaciones que se ejecutan en Docker sobre Amazon EC2. La solución debe realizar analítica en tiempo real sobre los registros, admitir la reproducción de mensajes y conservar los registros. ¿Qué servicios de IAM deben usarse para cumplir estos requisitos? (Elija DOS.)

Una empresa está evaluando el uso de AWS Systems Manager Session Manager para acceder a sus instancias Amazon EC2. Sin embargo, hasta que implemente ese cambio, la empresa debe proteger el archivo de clave de las instancias EC2 frente a operaciones de lectura y escritura por parte de cualquier otro usuario. Cuando un administrador de seguridad intenta conectarse a una instancia EC2 Linux crítica durante una emergencia, recibe el siguiente error: «Error Unprotected private key file – Permissions for '.ssh/my_private_key.pem' are too open». ¿Qué comando debe usar el administrador de seguridad para modificar los permisos del archivo de clave privada y resolver este error?

Una empresa implementa un conjunto de roles de IAM estándar en cuentas de AWS. Esos roles de IAM se basan en las funciones laborales de la empresa. Para equilibrar la eficiencia operativa y la seguridad, un ingeniero de seguridad implementó SCP de AWS Organizations para restringir el acceso a servicios de seguridad críticos en todas las cuentas de la empresa. Todas las cuentas y unidades organizativas de AWS Organizations tienen adjunta una SCP FullAWSAccess predeterminada. El ingeniero de seguridad debe garantizar que nadie pueda deshabilitar Amazon GuardDuty ni AWS Security Hub. Tampoco debe anular otros permisos concedidos por directivas de IAM definidas en las cuentas. ¿Qué SCP debe adjuntar el ingeniero de seguridad a la raíz de la organización para cumplir estos requisitos?

Una empresa está creando una aplicación de procesamiento de datos que usa funciones de AWS Lambda. Las funciones Lambda de la aplicación deben comunicarse con una instancia de base de datos de Amazon RDS implementada dentro de una VPC de la misma cuenta de AWS. ¿Qué solución cumple estos requisitos de la forma MÁS segura?

Una empresa tiene una aplicación que usa una base de datos Amazon RDS PostgreSQL. La empresa está desarrollando una característica que almacenará información sensible de una persona en esa base de datos. Durante una revisión de seguridad del entorno, la empresa descubre que la instancia de base de datos de RDS no cifra los datos en reposo. La empresa necesita una solución que proporcione cifrado en reposo para todos los datos existentes y para cualquier dato nuevo que se introduzca sobre una persona. ¿Qué combinación de opciones puede usar la empresa para cumplir estos requisitos? (Elija DOS.)

¿Cuál de las siguientes directivas de bucket garantizará que los objetos que se cargan en un bucket llamado «demo» estén cifrados?

Una empresa usa AWS Organizations para gestionar un entorno de AWS con varias cuentas en una única región de AWS. La cuenta de administración de la organización se llama management-01. La empresa ha activado AWS Config en todas las cuentas de la organización. Ha designado una cuenta llamada security-01 como administrador delegado de AWS Config. Todas las cuentas informan del estado de cumplimiento de sus reglas a la cuenta de administrador delegado de AWS Config mediante un agregador de AWS Config. Cada administrador de cuenta puede configurar y gestionar sus propias reglas de AWS Config para atender sus requisitos de cumplimiento específicos. Un ingeniero de seguridad necesita implementar una solución para desplegar automáticamente un conjunto de 10 reglas de AWS Config en todas las cuentas de AWS existentes y futuras de la organización. La solución debe activar AWS Config automáticamente durante la creación de la cuenta. ¿Qué combinación de pasos cumplirá estos requisitos? (Elija DOS.)

Una empresa tiene dos cuentas de IAM dentro de IAM Organizations. En Account-1, Amazon EC2 Auto Scaling se inicia mediante un rol vinculado a un servicio. En Account-2, los volúmenes de Amazon EBS están cifrados con una clave de AWS KMS. Un ingeniero de seguridad necesita garantizar que el rol vinculado al servicio pueda lanzar instancias con esos volúmenes cifrados. ¿Qué combinación de pasos debe realizar el ingeniero de seguridad en ambas cuentas? (Elija DOS.)

¿Cuáles de las siguientes configuraciones son válidas para usar certificados SSL con Amazon CloudFront? (Elija TRES.)

Un ingeniero de seguridad está resolviendo un problema con la aplicación de registro personalizada de una empresa. Los registros de la aplicación se escriben en un bucket de Amazon S3 con las notificaciones de eventos habilitadas para enviar eventos a un tema de Amazon SNS. Todos los registros están cifrados en reposo mediante una CMK de AWS KMS. El tema de SNS está suscrito a una cola de Amazon SQS cifrada. La aplicación de registro sondea la cola en busca de mensajes nuevos que contengan metadatos sobre el objeto de S3. Después, la aplicación lee el contenido del objeto desde el bucket S3 para indexarlo. El equipo de registro ha informado de que las métricas de Amazon CloudWatch relativas al número de mensajes enviados o recibidos muestran cero. No se reciben etiquetas. ¿Qué debe hacer el ingeniero de seguridad para diagnosticar este problema?

Un ingeniero de seguridad necesita implementar un modelo WORM (write-once-read-many) para los datos que una empresa almacenará en buckets de Amazon S3. La empresa usa la clase de almacenamiento S3 Standard en todos sus buckets S3. El ingeniero de seguridad debe garantizar que ningún usuario pueda sobrescribir ni eliminar los objetos, incluido el usuario raíz de la cuenta de AWS. ¿Qué solución cumple estos requisitos?

Un equipo de desarrollo intenta cifrar y descifrar un parámetro de tipo cadena segura del almacén de parámetros de IAM Systems Manager mediante una CMK de IAM Key Management Service (AWS KMS). Sin embargo, cada intento genera un mensaje de error que se envía al equipo de desarrollo. ¿Qué problemas relacionados con la CMK podrían explicar el error? (Elija DOS.)

Un ingeniero de seguridad inicia sesión en la consola de AWS Lambda con permisos de administrador. Intenta ver los registros en Amazon CloudWatch de una función Lambda llamada myFunction. Cuando elige en la consola de Lambda la opción de ver los registros en CloudWatch, aparece el mensaje «error loading Log Streams». La directiva de IAM del rol de ejecución de la función Lambda contiene lo siguiente. ¿Cómo debe corregir el error el ingeniero de seguridad? 

Una empresa planea crear cuentas secundarias individuales dentro de una organización existente en IAM Organizations para cada uno de sus equipos de DevOps. AWS CloudTrail se ha activado y configurado en todas las cuentas para escribir los registros de auditoría en un bucket de Amazon S3 de una cuenta de IAM centralizada. Un ingeniero de seguridad necesita garantizar que los miembros de los equipos de DevOps no puedan modificar ni deshabilitar esta configuración. ¿Cómo puede cumplir el ingeniero de seguridad estos requisitos?

Una empresa usa Amazon RDS para MySQL como motor de base de datos de sus aplicaciones. Una auditoría de seguridad reciente reveló una instancia de RDS que no cumple la política de la empresa sobre cifrado de datos en reposo. Un ingeniero de seguridad de la empresa debe garantizar que todas las bases de datos de RDS existentes estén cifradas mediante cifrado del lado del servidor y que se detecte cualquier desviación futura de la política. ¿Qué combinación de pasos debe realizar el ingeniero de seguridad para lograrlo? (Elija DOS.)

Una empresa tiene una gran flota de instancias Amazon EC2 con Linux y Windows que se ejecutan en subredes privadas. La empresa quiere que toda la administración remota se realice de la forma más segura posible en la nube de AWS. ¿Qué solución cumple estos requisitos?

Una empresa tiene una función de AWS Lambda que crea miniaturas a partir de imágenes más grandes. La función Lambda necesita acceso de lectura y escritura a un bucket de Amazon S3 de la misma cuenta de AWS. ¿Qué soluciones proporcionarán ese acceso a la función Lambda? (Elija DOS.)

Un ingeniero de seguridad está diseñando una directiva de IAM para un script que usará la CLI de AWS. Actualmente, el script asume un rol de IAM al que están adjuntas tres directivas de IAM administradas por AWS: AmazonEC2FullAccess, AmazonDynamoDBFullAccess y AmazonVPCFullAccess. El ingeniero de seguridad debe crear una directiva de IAM de mínimo privilegio que sustituya a las directivas de IAM administradas por AWS adjuntas a ese rol. ¿Qué solución cumple estos requisitos de la forma MÁS eficiente desde el punto de vista operativo?

Una empresa que usa AWS Organizations quiere ver los hallazgos de AWS Security Hub de muchas cuentas y regiones de AWS. Algunas cuentas pertenecen a la organización de la empresa y otras a organizaciones que la empresa gestiona para clientes. Aunque la empresa puede ver los hallazgos en la cuenta de administrador de Security Hub para las cuentas de su propia organización, no aparece ningún hallazgo de las cuentas de otras organizaciones. ¿Qué combinación de pasos debe seguir la empresa para ver los hallazgos de las cuentas ajenas a la organización que contiene la cuenta de administrador de Security Hub? (Elija DOS.)

Una empresa usa federación de identidades para autenticar usuarios en una cuenta de identidad (987654321987) donde asumen un rol de IAM llamado IdentityRole. Después, los usuarios asumen un rol de IAM llamado JobFunctionRole en la cuenta de IAM de destino (123456789123) para desempeñar sus funciones. Un usuario no consigue asumir el rol de IAM en la cuenta de destino. La directiva adjunta al rol de la cuenta de identidad es la siguiente. ¿Qué debe hacerse para que el usuario pueda asumir el rol adecuado en la cuenta de destino? 

Una empresa hospeda una aplicación web en un servidor web Apache. La aplicación se ejecuta en instancias Amazon EC2 que pertenecen a un grupo de Auto Scaling. La empresa configuró las instancias EC2 para enviar los registros del servidor web Apache a un grupo de Amazon CloudWatch Logs configurado para expirar al cabo de un año. Recientemente, la empresa descubrió en los registros del servidor web Apache que una dirección IP concreta envía solicitudes sospechosas a la aplicación web. Un ingeniero de seguridad quiere analizar la última semana de registros del servidor web Apache para determinar cuántas solicitudes envió esa dirección IP y qué URL solicitó. ¿Qué debe hacer el ingeniero de seguridad para cumplir estos requisitos con el MENOR esfuerzo?

Una empresa tiene varios buckets de Amazon S3 cifrados con CMK administradas por el cliente. Debido a requisitos normativos, las claves deben rotarse cada año. El ingeniero de seguridad de la empresa ha habilitado la rotación automática de claves para las CMK; sin embargo, la empresa quiere verificar que la rotación se ha producido. ¿Qué debe hacer el ingeniero de seguridad para lograrlo?

Una empresa ha implementado IAM WAF y Amazon CloudFront para una aplicación. La aplicación se ejecuta en instancias Amazon EC2 que forman parte de un grupo de Auto Scaling. Ese grupo de Auto Scaling está detrás de un Application Load Balancer (ALB). La ACL web de IAM WAF usa un grupo de reglas de IAM Managed Rules y está asociada a la distribución de CloudFront. CloudFront recibe la solicitud de IAM WAF y después usa el ALB como origen de la distribución. Durante una revisión de seguridad, un ingeniero de seguridad descubre que la infraestructura es vulnerable a un ataque DDoS de capa 7 de gran magnitud. ¿Cómo puede el ingeniero de seguridad mejorar la seguridad en el borde de la solución para defenderse de este tipo de ataque?

Una empresa tiene varias cuentas en la nube de AWS. Los usuarios de la cuenta de desarrollo necesitan acceder a recursos concretos de la cuenta de producción. ¿Cuál es la forma MÁS segura de proporcionar ese acceso?

Un administrador de sistemas no consigue iniciar una instancia Amazon EC2 en la región eu-west-1 mediante un rol de IAM. Ese mismo administrador sí puede iniciar una instancia EC2 en las regiones eu-west-2 y eu-west-3. La directiva de acceso IAMSystemAdministrator adjunta al rol de IAM del administrador de sistemas permite acceso incondicional a todos los servicios y recursos de IAM de la cuenta. ¿Qué configuración provocó este problema?

Amazon GuardDuty ha detectado comunicaciones hacia un punto de conexión de mando y control conocido desde una instancia Amazon EC2 de una empresa. Se comprobó que la instancia ejecutaba una versión vulnerable de un framework web habitual. El equipo de operaciones de seguridad de la empresa quiere identificar rápidamente otros recursos de proceso que tengan instalada esa versión concreta del framework. ¿Qué enfoque debe adoptar el equipo para realizar esta tarea?