30 questions d'entraînement AWS SCS-C02 gratuites

Une entreprise a besoin d'une solution de journalisation forensique pour des centaines d'applications basées sur Docker exécutées sur Amazon EC2. La solution doit analyser les journaux en temps réel, permettre la relecture des messages et conserver les journaux. Quels services Amazon Web Offerings (IAM) doivent être utilisés pour répondre à ces exigences ? (Choisissez DEUX réponses.)

Une entreprise a développé une application à l'aide d'AWS Lambda, Amazon S3, Amazon Simple Notification Service (Amazon SNS) et Amazon DynamoDB. Une application externe dépose des objets dans le bucket S3 de l'entreprise et les étiquette avec la date et l'heure. Une fonction Lambda extrait périodiquement des données du bucket S3 de l'entreprise en fonction des balises de date et d'heure, et insère des valeurs spécifiques dans une table DynamoDB pour traitement ultérieur. Les données comprennent des informations personnelles identifiables (PII). L'entreprise doit supprimer du bucket S3 et de la table DynamoDB les données de plus de 30 jours. Quelle solution répond à cette exigence avec la MEILLEURE efficacité opérationnelle ?

Une entreprise héberge un site web statique sur Amazon S3. Elle a configuré une distribution Amazon CloudFront pour servir le contenu du site. L'entreprise a associé une ACL web IAM WAF à la distribution CloudFront. Cette ACL web garantit que les requêtes proviennent des États-Unis afin de respecter des restrictions de conformité. L'entreprise craint que l'URL S3 reste directement accessible et que des requêtes puissent contourner la distribution CloudFront. Quelle combinaison d'étapes l'entreprise doit-elle suivre pour supprimer l'accès direct à l'URL S3 ? (Choisissez DEUX réponses.)

Une entreprise teste son plan de réponse aux incidents en cas d'informations d'identification compromises. L'entreprise exécute une base de données sur une instance Amazon EC2 et stocke les informations d'identification sensibles de la base de données sous forme de secret dans AWS Secrets Manager. Le secret est configuré avec une rotation assurée par une fonction AWS Lambda utilisant le modèle de fonction de rotation générique. L'instance EC2 et la fonction Lambda sont déployées dans le même sous-réseau privé. Le VPC dispose d'un point de terminaison VPC Secrets Manager. Un ingénieur sécurité découvre que le secret ne peut pas effectuer sa rotation. Il détermine que le point de terminaison VPC fonctionne comme prévu. Les journaux Amazon CloudWatch contiennent l'erreur suivante : « setSecret: Unable to log into database ». Quelle solution permettra de résoudre cette erreur ?

Une entreprise a besoin d'une solution de journalisation forensique pour des centaines d'applications exécutées dans Docker sur Amazon EC2. La solution doit effectuer des analyses en temps réel sur les journaux, prendre en charge la relecture des messages et conserver les journaux. Quels services IAM devez-vous utiliser pour répondre à ces exigences ? (Choisissez DEUX réponses.)

Une entreprise évalue l'utilisation d'AWS Systems Manager Session Manager pour accéder à ses instances Amazon EC2. Toutefois, jusqu'à la mise en œuvre de ce changement, l'entreprise doit protéger le fichier de clé des instances EC2 contre les opérations de lecture et d'écriture par tout autre utilisateur. Lorsqu'un administrateur sécurité tente de se connecter à une instance EC2 Linux critique en urgence, il reçoit l'erreur suivante : « Error Unprotected private key file – Permissions for '.ssh/my_private_key.pem' are too open ». Quelle commande l'administrateur sécurité doit-il utiliser pour modifier les autorisations du fichier de clé privée et résoudre cette erreur ?

Une entreprise déploie un ensemble de rôles IAM standards dans des comptes AWS. Ces rôles IAM sont basés sur les fonctions métier de l'entreprise. Pour concilier efficacité opérationnelle et sécurité, un ingénieur sécurité a mis en place des SCP AWS Organizations afin de restreindre l'accès aux services de sécurité critiques dans tous les comptes de l'entreprise. Tous les comptes et unités d'organisation d'AWS Organizations ont une SCP FullAWSAccess attachée par défaut. L'ingénieur sécurité doit garantir que personne ne peut désactiver Amazon GuardDuty ni AWS Security Hub. Il ne doit pas non plus remplacer les autres autorisations accordées par les stratégies IAM définies dans les comptes. Quelle SCP l'ingénieur sécurité doit-il attacher à la racine de l'organisation pour répondre à ces exigences ?

Une entreprise développe une application de traitement de données qui utilise des fonctions AWS Lambda. Les fonctions Lambda de l'application doivent communiquer avec une instance de base de données Amazon RDS déployée dans un VPC du même compte AWS. Quelle solution répond à ces exigences de la manière la PLUS sécurisée ?

Une entreprise possède une application qui utilise une base de données Amazon RDS PostgreSQL. L'entreprise développe une fonctionnalité qui stockera des informations sensibles concernant une personne dans cette base de données. Lors d'une revue de sécurité de l'environnement, l'entreprise découvre que l'instance de base de données RDS ne chiffre pas les données au repos. L'entreprise a besoin d'une solution assurant le chiffrement au repos de toutes les données existantes et de toutes les nouvelles données saisies pour une personne. Quelle combinaison d'options l'entreprise peut-elle utiliser pour répondre à ces exigences ? (Choisissez DEUX réponses.)

Laquelle des stratégies de bucket suivantes garantira que les objets chargés dans un bucket nommé « demo » sont chiffrés ?

Une entreprise utilise AWS Organizations pour gérer un environnement AWS multicompte dans une seule région AWS. Le compte de gestion de l'organisation s'appelle management-01. L'entreprise a activé AWS Config dans tous les comptes de l'organisation. Elle a désigné un compte nommé security-01 comme administrateur délégué pour AWS Config. Tous les comptes signalent l'état de conformité de leurs règles au compte administrateur délégué d'AWS Config à l'aide d'un agrégateur AWS Config. Chaque administrateur de compte peut configurer et gérer ses propres règles AWS Config afin de répondre à ses exigences de conformité spécifiques. Un ingénieur sécurité doit mettre en place une solution pour déployer automatiquement un ensemble de 10 règles AWS Config dans tous les comptes AWS existants et futurs de l'organisation. La solution doit activer AWS Config automatiquement lors de la création d'un compte. Quelle combinaison d'étapes répondra à ces exigences ? (Choisissez DEUX réponses.)

Une entreprise possède deux comptes IAM au sein d'IAM Organizations. Dans Account-1, Amazon EC2 Auto Scaling est lancé à l'aide d'un rôle lié à un service. Dans Account-2, les volumes Amazon EBS sont chiffrés avec une clé AWS KMS. Un ingénieur sécurité doit garantir que le rôle lié au service peut lancer des instances avec ces volumes chiffrés. Quelle combinaison d'étapes l'ingénieur sécurité doit-il effectuer dans les deux comptes ? (Choisissez DEUX réponses.)

Lesquelles des configurations suivantes sont valides pour utiliser des certificats SSL avec Amazon CloudFront ? (Choisissez TROIS réponses.)

Un ingénieur sécurité résout un problème lié à l'application de journalisation personnalisée d'une entreprise. Les journaux de l'application sont écrits dans un bucket Amazon S3 sur lequel les notifications d'événements sont activées pour envoyer des événements vers une rubrique Amazon SNS. Tous les journaux sont chiffrés au repos à l'aide d'une CMK AWS KMS. La rubrique SNS est abonnée à une file d'attente Amazon SQS chiffrée. L'application de journalisation interroge la file d'attente pour y trouver de nouveaux messages contenant des métadonnées sur l'objet S3. L'application lit ensuite le contenu de l'objet depuis le bucket S3 pour l'indexer. L'équipe de journalisation a signalé que les métriques Amazon CloudWatch relatives au nombre de messages envoyés ou reçus affichent zéro. Aucune balise n'est reçue. Que doit faire l'ingénieur sécurité pour diagnostiquer ce problème ?

Un ingénieur sécurité doit mettre en place un modèle WORM (write-once-read-many) pour des données qu'une entreprise stockera dans des buckets Amazon S3. L'entreprise utilise la classe de stockage S3 Standard pour tous ses buckets S3. L'ingénieur sécurité doit garantir que les objets ne peuvent être ni écrasés ni supprimés par aucun utilisateur, y compris l'utilisateur racine du compte AWS. Quelle solution répond à ces exigences ?

Une équipe de développement tente de chiffrer et de déchiffrer un paramètre de type chaîne sécurisée du magasin de paramètres IAM Systems Manager à l'aide d'une CMK IAM Key Management Service (AWS KMS). Cependant, chaque tentative génère un message d'erreur envoyé à l'équipe de développement. Quels problèmes liés à la CMK peuvent expliquer cette erreur ? (Choisissez DEUX réponses.)

Un ingénieur sécurité se connecte à la console AWS Lambda avec des autorisations d'administrateur. Il tente de consulter les journaux dans Amazon CloudWatch pour une fonction Lambda nommée myFunction. Lorsqu'il choisit dans la console Lambda l'option de consultation des journaux dans CloudWatch, le message « error loading Log Streams » s'affiche. La stratégie IAM du rôle d'exécution de la fonction Lambda contient les éléments suivants. Comment l'ingénieur sécurité doit-il corriger cette erreur ? 

Une entreprise prévoit de créer des comptes enfants individuels au sein d'une organisation existante dans IAM Organizations pour chacune de ses équipes DevOps. AWS CloudTrail a été activé et configuré sur tous les comptes pour écrire les journaux d'audit dans un bucket Amazon S3 d'un compte IAM centralisé. Un ingénieur sécurité doit garantir que les membres des équipes DevOps ne peuvent ni modifier ni désactiver cette configuration. Comment l'ingénieur sécurité peut-il répondre à ces exigences ?

Une entreprise utilise Amazon RDS pour MySQL comme moteur de base de données pour ses applications. Un audit de sécurité récent a révélé une instance RDS non conforme à la politique de l'entreprise en matière de chiffrement des données au repos. Un ingénieur sécurité de l'entreprise doit garantir que toutes les bases de données RDS existantes sont chiffrées à l'aide du chiffrement côté serveur et que tout écart futur par rapport à la politique est détecté. Quelle combinaison d'étapes l'ingénieur sécurité doit-il effectuer pour y parvenir ? (Choisissez DEUX réponses.)

Une entreprise possède un parc important d'instances Amazon EC2 Linux et Windows exécutées dans des sous-réseaux privés. L'entreprise souhaite que toute l'administration à distance soit réalisée de la manière la plus sécurisée possible dans le cloud AWS. Quelle solution répond à ces exigences ?

Une entreprise dispose d'une fonction AWS Lambda qui crée des vignettes à partir d'images plus grandes. La fonction Lambda a besoin d'un accès en lecture et en écriture à un bucket Amazon S3 du même compte AWS. Quelles solutions donneront cet accès à la fonction Lambda ? (Choisissez DEUX réponses.)

Un ingénieur sécurité conçoit une stratégie IAM pour un script qui utilisera l'AWS CLI. Le script assume actuellement un rôle IAM auquel sont attachées trois stratégies IAM gérées par AWS : AmazonEC2FullAccess, AmazonDynamoDBFullAccess et AmazonVPCFullAccess. L'ingénieur sécurité doit construire une stratégie IAM de moindre privilège qui remplacera les stratégies IAM gérées par AWS attachées à ce rôle. Quelle solution répond à ces exigences de la manière la PLUS efficace sur le plan opérationnel ?

Une entreprise qui utilise AWS Organizations souhaite consulter les résultats AWS Security Hub de nombreux comptes et régions AWS. Certains comptes appartiennent à l'organisation de l'entreprise, d'autres à des organisations que l'entreprise gère pour ses clients. Bien que l'entreprise puisse voir les résultats dans le compte administrateur Security Hub pour les comptes de sa propre organisation, aucun résultat n'apparaît pour les comptes d'autres organisations. Quelle combinaison d'étapes l'entreprise doit-elle suivre pour voir les résultats des comptes situés hors de l'organisation contenant le compte administrateur Security Hub ? (Choisissez DEUX réponses.)

Une entreprise utilise la fédération d'identités pour authentifier des utilisateurs dans un compte d'identité (987654321987) où ils assument un rôle IAM nommé IdentityRole. Les utilisateurs assument ensuite un rôle IAM nommé JobFunctionRole dans le compte IAM cible (123456789123) pour exercer leurs fonctions. Un utilisateur ne parvient pas à assumer le rôle IAM dans le compte cible. La stratégie attachée au rôle dans le compte d'identité est la suivante. Que faut-il faire pour permettre à l'utilisateur d'assumer le rôle approprié dans le compte cible ? 

Une entreprise héberge une application web sur un serveur web Apache. L'application s'exécute sur des instances Amazon EC2 appartenant à un groupe Auto Scaling. L'entreprise a configuré les instances EC2 pour envoyer les journaux du serveur web Apache vers un groupe Amazon CloudWatch Logs configuré pour expirer au bout d'un an. Récemment, l'entreprise a découvert dans les journaux du serveur web Apache qu'une adresse IP précise envoie des requêtes suspectes à l'application web. Un ingénieur sécurité souhaite analyser la dernière semaine de journaux du serveur web Apache pour déterminer combien de requêtes cette adresse IP a envoyées et quelles URL elle a demandées. Que doit faire l'ingénieur sécurité pour répondre à ces exigences avec le MOINS d'effort ?

Une entreprise possède plusieurs buckets Amazon S3 chiffrés avec des CMK gérées par le client. En raison d'exigences réglementaires, les clés doivent faire l'objet d'une rotation chaque année. L'ingénieur sécurité de l'entreprise a activé la rotation automatique des clés pour les CMK ; toutefois, l'entreprise souhaite vérifier que la rotation a bien eu lieu. Que doit faire l'ingénieur sécurité pour y parvenir ?

Une entreprise a mis en place IAM WAF et Amazon CloudFront pour une application. L'application s'exécute sur des instances Amazon EC2 appartenant à un groupe Auto Scaling. Ce groupe Auto Scaling est placé derrière un Application Load Balancer (ALB). L'ACL web IAM WAF utilise un groupe de règles IAM Managed Rules et est associée à la distribution CloudFront. CloudFront reçoit la requête d'IAM WAF puis utilise l'ALB comme origine de la distribution. Lors d'une revue de sécurité, un ingénieur sécurité découvre que l'infrastructure est vulnérable à une attaque DDoS de couche 7 de grande ampleur. Comment l'ingénieur sécurité peut-il améliorer la sécurité en périphérie de la solution pour se défendre contre ce type d'attaque ?

Une entreprise possède plusieurs comptes dans le cloud AWS. Les utilisateurs du compte de développement doivent accéder à des ressources spécifiques du compte de production. Quel est le moyen le PLUS sécurisé de fournir cet accès ?

Un administrateur système ne parvient pas à démarrer une instance Amazon EC2 dans la région eu-west-1 à l'aide d'un rôle IAM. Ce même administrateur système parvient à démarrer une instance EC2 dans les régions eu-west-2 et eu-west-3. La stratégie d'accès IAMSystemAdministrator attachée au rôle IAM de l'administrateur système autorise un accès inconditionnel à tous les services et ressources IAM du compte. Quelle configuration a causé ce problème ?

Amazon GuardDuty a détecté des communications vers un point de terminaison de commande et contrôle connu depuis une instance Amazon EC2 d'une entreprise. Il s'est avéré que l'instance exécutait une version vulnérable d'un framework web courant. L'équipe des opérations de sécurité de l'entreprise souhaite identifier rapidement les autres ressources de calcul sur lesquelles cette version précise du framework est installée. Quelle approche l'équipe doit-elle adopter pour accomplir cette tâche ?