Simulado AWS Security Specialty - SCS-C02

1. 1.Uma equipe de segurança precisa normalizar descobertas do GuardDuty, do Inspector, do Macie e de um scanner de terceiros em um único esquema, para que uma única regra do EventBridge possa roteá-las. Qual formato fornece isso?

   • AO formato versão 5 dos logs de fluxo da VPC
   • BO AWS Security Finding Format (ASFF)Resposta correta
   • CO formato de item de configuração do AWS Config
   • DO formato de registro de eventos do CloudTrail

   Por quê

   O AWS Security Finding Format é o esquema JSON comum que o Security Hub usa para descobertas de serviços da AWS e de produtos parceiros integrados, o que permite que um único padrão do EventBridge corresponda a campos como Severity.Label em todas as origens.

2. 2.Suspeita-se que uma instância do EC2 esteja se comunicando com um host de comando e controle. A equipe forense precisa que a instância permaneça em execução e que sua memória fique intacta, enquanto todo o tráfego adicional é interrompido. O que o respondente deve fazer?

   • AEncerrar a instância e iniciar uma substituta a partir da mesma AMI
   • BAnexar um grupo de segurança de isolamento sem regras e mover a instância para uma sub-rede de quarentenaResposta correta
   • CParar a instância imediatamente e criar um snapshot do EBS
   • DDesanexar o perfil de instância e reiniciar a instância

   Por quê

   Substituir o grupo de segurança da instância por um sem regras bloqueia todo o tráfego novo, mantendo a instância em execução, de modo que a memória volátil e os processos em execução sejam preservados para análise. Parar a instância destruiria o conteúdo da memória.

3. 3.Uma chave de acesso do IAM pertencente a um desenvolvedor foi publicada em um repositório de código público. Qual ação interrompe imediatamente o uso dessa chave enquanto a investigação continua?

   • AAplicar uma política de controle de serviço negando iam:CreateAccessKey
   • BDesativar a chave de acesso exposta no usuário do IAMResposta correta
   • CRotacionar a senha do usuário-raiz da conta da AWS
   • DHabilitar MFA no usuário do IAM do desenvolvedor

   Por quê

   Desativar ou excluir a chave de acesso específica a revoga imediatamente. Anexar uma política de negação explícita ao usuário é uma medida de contenção mais ampla, mas a própria chave precisa ser invalidada para garantir que não possa ser usada.

4. 4.Snapshots forenses do EBS devem ser armazenados de modo que ninguém, nem mesmo um administrador, possa excluí-los ou sobrescrevê-los durante uma retenção legal. Qual combinação fornece isso?

   • AUm bucket do S3 com uma política de bucket negando s3:DeleteObject a todos os principais
   • BUm bucket do S3 em uma conta forense isolada com Object Lock em modo de conformidadeResposta correta
   • CUm volume do EBS criptografado anexado a uma instância forense parada
   • DUm bucket do S3 com versionamento e uma regra de ciclo de vida que faz transição para o Glacier

   Por quê

   Exportar as evidências para um bucket do S3 em uma conta forense dedicada com Object Lock em modo de conformidade torna os objetos imutáveis pelo período de retenção, e nenhum principal, nem mesmo o usuário-raiz, pode reduzi-lo.

5. 5.Qual serviço constrói um grafo de comportamento vinculado a partir do CloudTrail, dos logs de fluxo da VPC e das descobertas do GuardDuty para que um analista possa navegar entre entidades durante uma investigação de causa raiz?

   • AAmazon DetectiveResposta correta
   • BAmazon Inspector
   • CAWS Audit Manager
   • DAWS Security Hub

   Por quê

   O Amazon Detective ingere essas origens automaticamente e mantém um grafo de comportamento com linhas de base por entidade, o que apoia a investigação interativa de como uma descoberta evoluiu ao longo do tempo.

Praticar todas as 65 questões

Perguntas frequentes