SCS-C03 题库 · 最新 50 题免费预览（第 4/5 页）

一家公司使用 Amazon API Gateway 向用户展示 REST API。一位 API 开发人员希望分析 API 访问模式，而无需解析日志文件。 哪些步骤组合将以最少的工作量满足这些要求？（选择两项。）

• A. 为所需的 API 阶段配置访问日志记录。
• B. 为 API Gateway 事件配置 AWS CloudTrail 跟踪目标。在 userIdentity、userAgent 和 sourceIPAddress 字段上配置筛选器。
• C. 为 API Gateway 日志配置 Amazon S3 目标。运行 Amazon Athena 查询以分析 API 访问信息。
• D. 使用 Amazon CloudWatch Logs Insights 分析 API 访问信息。
• E. 在所需的 API 阶段上选择"启用详细 CloudWatch 指标"选项。

答案: A, D

一家公司正在调查其 AWS 每月账单的上涨情况。该公司发现，某些 Amazon EC2 实例已被恶意攻击者攻陷，并被用于为大规模电子邮件钓鱼活动托管网页。 安全工程师必须实施一个解决方案来监控未来的成本上涨，以帮助检测恶意活动。 哪种解决方案能够为公司提供对成本上涨的**最早检测**？

• A. 创建一个 Amazon EventBridge 规则，每小时调用一次 AWS Lambda 函数。编写该 Lambda 函数，使其从 AWS Data Exports 下载一份涵盖所有服务使用情况的 AWS 使用报告。编写该 Lambda 函数以分析该报告，并在检测到异常时发送通知。
• B. 在 AWS 成本异常检测中创建一个成本监控器。配置一个单独的警报，当超出预期成本的百分比超过阈值时，通知 Amazon Simple Notification Service（Amazon SNS）主题。
• C. 每日查看 AWS Cost Explorer，以检测与前几个月相比的成本异常。审查任何相比前几个月成本显著增加的服务使用情况。
• D. 从运行 EC2 实例的 VPC 中捕获 VPC 流日志。使用第三方网络分析工具来分析流日志，并检测可能增加成本的网络流量异常情况。

答案: B

一家公司在AWS云中拥有多个账户。开发人员账户中的用户需要访问生产账户中的特定资源。 提供此访问权限的最安全方式是什么？

• A. 在生产账户中创建一个 IAM 用户，授予所需资源的适当权限，并且仅与需要访问权限的用户共享密码。
• B. 在开发者账户中使用 IAM 角色创建跨账户访问。授予该角色适当的权限。允许开发者账户中的用户代入此角色以访问生产资源。
• C. 在生产账户中使用 IAM 用户账户创建跨账户访问。向该用户账户授予适当的权限。允许开发人员账户中的用户使用此用户账户访问生产资源。
• D. 在生产账户中使用 IAM 角色创建跨账户访问。授予此角色适当的权限，允许开发账户中的用户代入此角色以访问生产资源。

答案: D

一家公司拥有一个平台，该平台在 AWS Organizations 同一个组织下划分为 12 个 AWS 账户。这些账户中有许多使用 Amazon API Gateway 向公司的前端应用程序公开 API。该公司需要保护现有 API 以及未来将部署的任何资源，抵御常见的 SQL 注入和机器人攻击。 哪种解决方案能够以最低的运营开销满足这些要求？

• A. 为每个 API 创建一个 AWS WAF Web ACL。包含托管规则以阻止 SQL 注入和僵尸网络攻击。使用 AWS Config 检测没有 Web ACL 的新资源。配置修复操作，为这些资源置备 Web ACL。
• B. 使用 AWS Firewall Manager 创建 AWS WAF 策略。配置该策略以包含 AWS Bot Control 和 SQL 数据库托管规则组。将策略范围设置为包含 API Gateway 阶段作为资源类型。
• C. 创建一个 AWS Service Catalog 产品，用于 AWS WAF Web ACL，其中包含阻止 SQL 注入和机器人攻击的规则。使用 AWS Config 检测未应用此产品的新资源。配置修正操作以为这些资源预置 Web ACL。
• D. 使用 AWS Security Hub 检测未受保护的资源，并将检测结果作为自定义操作事件发送到 Amazon EventBridge。为这些事件创建一个 AWS Lambda 函数，为未受保护的资源配置 AWS WAF Web ACL。包括托管规则以阻止 SQL 注入和僵尸网络攻击。

答案: B

一名安全工程师需要实施一个解决方案，以识别存储在 Amazon S3 存储桶中的任何敏感数据。该解决方案必须通过使用现有的 Amazon Simple Notification Service (Amazon SNS) 主题来报告 S3 存储桶中的敏感数据。 哪种解决方案能够以最少的实施工作量来满足这些要求？

• A. 启用 AWS Config。配置 AWS Config 以监控 S3 存储桶中的敏感数据，并向 SNS 主题发送通知。
• B. 创建一个 AWS Lambda 函数，用于扫描 S3 存储桶中与模式匹配的敏感数据。编写 Lambda 函数向 SNS 主题发送通知。
• C. 配置 Amazon Macie 以使用托管数据标识符来识别和分类敏感数据。创建一个 Amazon EventBridge 规则以将通知发送到 SNS 主题。
• D. 启用 Amazon GuardDuty。配置 AWS CloudTrail S3 数据事件。创建一个 Amazon CloudWatch 告警，用于响应 GuardDuty 发现项并将通知发送到 SNS 主题。

答案: C

一个公有子网包含两个 Amazon EC2 实例。该子网具有自定义网络 ACL。一位安全工程师正在设计一个方案以提高子网的安全性。 该方案必须允许通过端口 443 使用 TLS 访问互联网服务的出站流量。同时还必须拒绝目标是 MySQL 端口 3306 的入站流量。 哪种网络 ACL 规则集能满足这些要求？

• A. 使用入站规则 100 允许 TCP 端口 443 上的流量。使用入站规则 200 拒绝 TCP 端口 3306 上的流量。使用出站规则 100 允许 TCP 端口 443 上的流量。
• B. 使用入站规则 100 拒绝 TCP 端口 3306 上的流量。使用入站规则 200 允许 TCP 端口范围 1024-65535 上的流量。使用出站规则 100 允许 TCP 端口 443 上的流量。
• C. 使用入站规则 100 允许 TCP 端口范围 1024-65535 的流量。使用入站规则 200 拒绝 TCP 端口 3306 的流量。使用出站规则 100 允许 TCP 端口 443 的流量。
• D. 使用入站规则 100 拒绝 TCP 端口 3306 上的流量。使用入站规则 200 允许 TCP 端口 443 上的流量。使用出站规则 100 允许 TCP 端口 443 上的流量。

答案: B

一家公司在Auto Scaling组中的Amazon EC2实例上运行一个应用程序。该应用程序将日志存储在本地。一名安全工程师注意到在缩减事件后日志丢失了。该安全工程师需要推荐一个解决方案，以确保日志数据的持久性和可用性。所有日志必须至少保留1年以用于审计目的。 该安全工程师应该推荐什么？

• A. 在 Auto Scaling 生命周期中，添加一个挂钩，以便在每次创建 EC2 实例时创建并附加一个 Amazon Elastic Block Store（Amazon EBS）日志卷。当实例终止时，该 EBS 卷可以重新附加到另一个实例以便进行日志审查。
• B. 创建一个 Amazon Elastic File System（Amazon EFS）文件系统，并在 Auto Scaling 启动模板的用户数据部分添加一条命令，以便在 EC2 实例创建过程中挂载该 EFS 文件系统。在实例上配置一个进程，每天将日志从实例的 Amazon Elastic Block Store（Amazon EBS）卷复制到 EFS 文件系统中的某个目录。
• C. 将 Amazon CloudWatch 代理添加到 Auto Scaling 组所使用的 AMI 中。配置 CloudWatch 代理将日志发送到 Amazon CloudWatch Logs 以供查看。
• D. 在 Auto Scaling 生命周期中，在终止状态转换时添加一个生命周期挂钩，并通过向 Amazon Simple Notification Service (Amazon SNS) 发送生命周期通知来提醒工程团队。将该挂钩配置为在 Terminating:Wait（终止等待）状态保持 1 小时，以便在实例终止之前手动审查安全日志。

答案: C

一名安全工程师需要实施一个解决方案，以创建和控制公司用于加密操作的密钥。安全工程师必须创建对称密钥，其中密钥材料在由 AWS CloudHSM 集群支持的自定义密钥存储中生成和使用。 安全工程师将使用对称和非对称数据密钥对，供应用程序在本地使用。安全工程师还必须审计密钥的使用情况。 安全工程师如何满足这些要求？

• A. 要创建密钥，请使用 AWS Key Management Service (AWS KMS) 以及结合 CloudHSM 集群的自定义密钥存储。审计方面，请使用 Amazon Athena。
• B. 要创建密钥，请使用 Amazon S3 以及与 CloudHSM 集群配合使用的自定义密钥存储。对于审计，请使用 AWS CloudTrail。
• C. 要创建密钥，请使用 AWS Key Management Service（AWS KMS）以及 CloudHSM 集群的自定义密钥存储。出于审计目的，请使用 Amazon GuardDuty。
• D. 要创建密钥，请使用 AWS Key Management Service (AWS KMS) 和带有 CloudHSM 集群的自定义密钥存储。对于审计，请使用 AWS CloudTrail。

答案: D

一家公司需要一个解决方案来保护关键数据不被永久删除。数据存储在 Amazon S3 桶中。该公司需要将 S3 对象从其主要 AWS 区域复制到辅助区域，以满足灾难恢复要求。该公司还必须确保具有管理员访问权限的用户无法永久删除辅助区域中的数据。哪种解决方案能够满足这些要求？

• A. 配置 AWS Backup 以执行跨区域 S3 备份。在辅助区域中选择备份保管库。为辅助区域中的备份启用治理模式下的 AWS Backup 保管库锁定。
• B. 在主区域中以合规模式实施 S3 对象锁定。配置 S3 复制以将对象复制到辅助区域中的 S3 存储桶。
• C. 配置 S3 复制功能，将对象复制到辅助区域中的 S3 存储桶。创建一个 S3 存储桶策略，拒绝辅助区域中 S3 存储桶上的 s3:ReplicateDelete 操作。
• D. 配置 S3 复制以将对象复制到次要区域中的 S3 存储桶。 在次要区域中的 S3 存储桶上配置 S3 对象版本控制。

答案: B

一家公司在 Amazon Elastic Kubernetes Service（Amazon EKS）上运行多个应用程序。该公司需要一个解决方案来检测 Kubernetes 安全风险，方法是通过监控 Amazon EKS 审计日志以及操作系统、网络和文件事件。该解决方案必须将与安全团队关联的邮件列表针对任何已识别的风险发送电子邮件警报。 哪种解决方案将满足这些要求？

• A. 部署 AWS Security Hub 并启用包含 EKS 控制项的安全标准。创建一个 Amazon Simple Notification Service (Amazon SNS) 主题，并将安全团队的邮件列表设置为订阅者。使用 Amazon EventBridge 规则将相关的 Security Hub 事件发送到 SNS 主题。
• B. 启用 Amazon Inspector 容器镜像扫描。配置 Amazon Detective 以分析 EKS 安全日志。为 EKS 审计日志创建 Amazon CloudWatch 日志组。使用 AWS Lambda 函数处理日志并向安全团队发送电子邮件警报。
• C. 启用 Amazon GuardDuty，在 GuardDuty 中为 Amazon EKS 启用 EKS 保护和运行时监控。创建一个 Amazon Simple Notification Service (Amazon SNS) 主题，并将安全团队的邮件列表设置为订阅者。使用 Amazon EventBridge 规则将相关的 GuardDuty 事件发送到该 SNS 主题。
• D. 在所有 EKS 节点上安装 AWS Systems Manager Agent（SSM Agent）。配置 Amazon CloudWatch Logs 以收集 EKS 审计日志。创建一个 Amazon Simple Notification Service（Amazon SNS）主题，并将安全团队的邮件列表设置为订阅者。配置一个 CloudWatch 告警，以便在生成新审计日志时向 SNS 主题发布消息。

答案: C