問題281-問題290 (SAP)

制限時間: 0

採点する

10問中 0問が回答されています

質問:

インフォメーション

You have already completed the テスト before. Hence you can not start it again.

問題を読み込んでいます…

You must sign in or sign up to start the テスト.

まず、次の操作を完了する必要があります:

結果

採点中です。しばらくお待ちください。

結果

正解数 0/問題数10

回答にかかった時間:

終了時間となりました

回答お疲れ様でした。

Earned Point(s): 0 of 0, (0)
0 Essay(s) Pending (Possible Point(s): 0)

カテゴリー

カテゴリーがありません 0%

おめでとう！ポイントが1追加されました！

1
2
3
4
5
6
7
8
9
10

選択中
後で確認
回答済み
正解
不正解

質問 1 of 10

1. 質問
- 1
- 2
- 3
【SCS-281】ある会社は、機密文書をオンプレミスのデータセンターからAmazon S3に移行することを決定しました。
現在、同社のハードディスクは、データ暗号化に関するコンプライアンス要件を満たすために暗号化されています。
管理者は、ひとつの鍵ではなく、異なる鍵を使用して各ファイルを暗号化することにより、セキュリティを向上させたいと考えています。
異なるキーを使用すると、ひとつの公開キーによるセキュリティの影響を制限することができます。
このアプローチを実装する際に最も少ない作業量なのは次のうちどれですか？
- 各ファイルを別のS3バケットに配置する。各バケットのデフォルトの暗号化を、異なるAWS KMSカスタマーマネージドキーを使用するように設定する。
- すべてのファイルを同じS3バケットに入れる。S3イベントをトリガーに、AWS Lambda関数を書いて、追加される各ファイルを異なるAWS KMSデータキーを使って暗号化する。
- S3暗号化クライアントを使用して、S3で生成されたデータキーを使用して各ファイルを個別に暗号化します。
- すべてのファイルを同じS3バケットに配置します。AWS KMS管理鍵によるサーバーサイド暗号化（SSE-KMS）を使用してデータを暗号化する。
正解

不正解
質問 2 of 10

2. 質問
- 1
- 2
- 3
【SCS-282】ある会社は最近、AWS環境の年次セキュリティ評価を実施しました。
評価では、監査ログが90日を過ぎると利用できなくなることと、IAMポリシーへの不正な変更が検出できていないことが指摘されました。
セキュリティエンジニアは、これらの問題をどのように解決すべきですか？
- AWS CloudTrail証跡ログを90日後にAmazon S3 Glacier にアーカイブする Amazon S3 ライフサイクルポリシーを作成します。ポリシーがリソースに変更されたときに通知を提供するように Amazon Inspector を設定します。
- AWS CloudTrail ログをアーカイブするように AWS Artifact を設定します。ポリシーがリソースに変更されたときに通知を提供するように AWS Trusted Advisor を設定します。
- ロググループを Amazon S3 にエクスポートするように Amazon CloudWatch を設定します。ポリシーがリソースに変更されたときに通知を提供するように AWS CloudTrail を設定します。
- 監査ログを Amazon S3 に保存する AWS CloudTrail 証跡を作成します。ポリシーの変更がリソースに加えられたときに通知を提供するように AWS Config ルールを設定します。
正解

不正解
質問 3 of 10

3. 質問
- 1
- 2
- 3
【SCS-283】ある会社には、Amazon EC2 と Amazon S3 で実行される 2 つの Web アプリケーションがあります。
アプリケーションは HTTP セキュリティ監査に失敗し、ユーザーは遅延の問題を報告しています。
アプリケーションは、ユーザーとコンテンツプロバイダーのセキュリティとプライバシーを改善しながら、低遅延で Web コンテンツを配信する必要があります。
企業は、アプリケーションコードの変更を必要としないソリューションを実装する必要があります。
これらの要件を満たすために、企業はどのアクションを組み合わせて実行する必要がありますか? （2つ選んでください。)
- Amazon API Gateway をデプロイします。エンドポイントの応答をキャッシュします。
- リクエストパラメータベースの AWS Lambda オーソライザーを使用して Amazon API Gateway を設定し、オリジンレスポンスに HTTP セキュリティヘッダーを追加します。
- オリジンレスポンスに HTTP セキュリティヘッダーを追加する Lambda@Edge 関数を記述します。
- Amazon CloudFront を設定します。EC2 および S3 オリジンのディストリビューションを作成します。
- アプリケーションロードバランサー（ALB）を実装し、レスポンスをクライアントに転送した後、受信したクライアントリクエストからの接続ヘッダを尊重するようにします。
正解

不正解
質問 4 of 10

4. 質問
- 1
- 2
- 3
ある会社が、Auto Scalingグループ内のEBSでバックアップされたAmazon EC2インスタンスとAmazon Aurora PostgreSQLデータベースを使用する2層アプリケーションを実行しています。
同社は、別のAWSリージョンでディザスタリカバリのためのパイロットライトアプローチを使用する予定です。
同社は、RTOが6時間、RPOが24時間です。
どのソリューションが最小限のコストで要件を達成できるでしょうか？
- EBSのクロスリージョンスナップショットコピー機能を使用して、ディザスタリカバリ（DR）リージョンにスナップショットを作成します。 DRリージョンにAurora Replicaを実装します。 Amazon Route 53をアクティブ-パッシブフェイルオーバー構成で使用します。プライマリーリージョンと同じ構成のAuto ScalingグループでAmazon EC2を使用します。
- AWS Lambdaを使用して、毎日EBSスナップショットを作成し、災害復旧リージョンにコピーします。 DRリージョンにAurora Replicaを実装します。 Amazon Route 53をアクティブ・パッシブフェイルオーバー構成で使用します。災害復旧リージョンで、容量を0に設定したAuto ScalingグループでAmazon EC2を使用します。
- AWS Lambdaを使用して、毎日EBSとRDSのスナップショットを作成し、災害復旧リージョンにコピーします。 Amazon Route 53をアクティブ-アクティブフェイルオーバー構成で使用します。プライマリーリージョンと同じ構成のAuto Scalingグループ内のAmazon EC2を使用します。
- EBSとRDSのリージョン間スナップショットコピー機能を使用して、災害復旧（DR）リージョンにスナップショットを作成します。 Amazon Route 53をアクティブ-アクティブフェイルオーバー構成で使用します。災害復旧リージョンで容量を0に設定したAuto ScalingグループでAmazon EC2を使用します。
正解

不正解
質問 5 of 10

5. 質問
- 1
- 2
- 3
【SCS-285】ある企業は、IPパケットデータに無効なコンテンツや悪意のあるコンテンツがないか検査することを要求しています。
この要求を実現するアプローチは次のうちどれでしょうか？(2つ選んでください。)
- Amazon EC2上にプロキシのソリューションを構成し、すべてのアウトバウンドVPCトラフィックはそれを介してルーティングさせる。EC2インスタンスのプロキシソフトウェア内で検査を実行する。
- VPC内の各EC2インスタンスにホストベースのエージェントを設定する。ホストベースのエージェント内で検査を行う。
- VPC内のすべてのサブネットに対して、VPC Flow Logsを有効にする。Amazon CloudWatch Logs内のFlow Logデータから検査を実施する。
- Elastic Load Balancing (ELB) のアクセスログを設定する。ELB のアクセスログファイル内のログデータから検査を行う。
- VPC内の各EC2インスタンスにCloudWatch Logsエージェントを設定する。CloudWatch Logs内のログデータから検査を実施する。
正解

不正解
質問 6 of 10

6. 質問
- 1
- 2
- 3
【SCS-286】ある企業は、すべてのパブリックエンドポイントに HTTPS を使用しています。
サードパーティの認証局 (CA) が証明書を発行します。
会社は証明書をインポートし、その証明書を Elastic Load Balancer または Amazon CloudFront ディストリビューションにアタッチします。
同社はサードパーティの DNS ホスティングプロバイダーも使用しています。
証明書の有効期限が近づいています。
同社は、自動更新で AWS Certificate Manager (ACM) に移行したいと考えています。
企業が DNS 検証中に CNAME レコードを追加すると、証明書のステータスが [失敗] に変わります。
この問題の根本的な原因は何ですか?
- DNS 検証では、ドメインが Amazon Route 53 でホストされている必要があります。
- ドメイン検証の自動更新では、ドメインが Amazon Route 53 でホストされている必要があります。
- ドメインには、特定の認証局のみを許可する認証局承認 (CAA) DNS レコードがあります。
- DNS 検証には、CNAME レコードではなく TXT レコードが必要です。
正解

不正解
質問 7 of 10

7. 質問
- 1
- 2
- 3
【SCS-287】AWS Lambda関数がデータを変更するために悪用されました。
セキュリティエンジニアは、誰がその関数を起動し、どのような出力が生成されたかを特定する必要があります。
エンジニアは、Amazon CloudWatch LogsでLambda関数によって作成されたログを見つけることができません。
ログが利用できない理由を説明するのは次のうちどれですか？
- Lambda 関数の実行ロールが、CloudWatch Logs にログデータを書き込む権限を付与していませんでした。
- Lambda関数はAmazon API Gatewayを使用して実行されたため、ログはCloudWatch Logsに保存されません。
- Lambda関数の実行ロールが、CloudWatch Logsがログを保存するAmazon S3バケットへの書き込み権限を付与していない。
- 実行された Lambda 関数のバージョンが最新ではありませんでした。
正解

不正解
質問 8 of 10

8. 質問
- 1
- 2
- 3
【SCS-288】ある企業は、アプリケーションで AWS 所有の CMK を使用して、AWS アカウントのファイルを暗号化しています。
同社のセキュリティチームは、キー侵害の可能性がある場合はいつでも、新しいファイルの新しいキーマテリアルに変更できるようにしたいと考えています。
セキュリティエンジニアは、セキュリティチームが必要に応じていつでもキーを変更できるようにするソリューションを実装する必要があります。
これらの要件を満たすソリューションはどれですか?
- 新しいカスタマー管理の CMK を作成します。キーローテーションスケジュールを CMK に追加します。セキュリティチームがキーの変更を要求するたびに、キーのローテーションスケジュールを呼び出します。
- 新しい AWS 管理の CMK を作成します。キーローテーションスケジュールを CMK に追加します。セキュリティチームがキーの変更を要求するたびに、キーのローテーションスケジュールを呼び出します。
- CMK エイリアスを作成します。セキュリティチームがキーの変更を要求するたびに、新しい顧客管理の CMK を作成します。エイリアスを新しい CMK に関連付けます。
- CMK エイリアスを作成します。セキュリティチームがキーの変更をリクエストするたびに、AWS が管理する新しい CMK を作成します。エイリアスを新しい CMK に関連付けます。
正解

不正解
質問 9 of 10

9. 質問
- 1
- 2
- 3
【SCS-289】ある企業は、AWS でサードパーティの WAF ソフトウェアを実行しています。
同社のセキュリティチームは、サードパーティの WAF ソフトウェアに、サーバー側のリクエストフォージェリ (SSRF) 攻撃につながる脆弱性があることを発見しました。
この発見により、セキュリティチームは、AWS インフラストラクチャ全体でインスタンスメタデータサービス (IMDSv2) のバージョン 2 を使用する必要があることを義務付けています。
数百の古い IMDSv1 リクエストがまだ毎日発生していると判断しました。
セキュリティチームは、この実装を完了するために会社のアプリケーションの可用性を危険にさらすことは仕方ないと判断しています。
AWS 環境で IMDSv2 への移行を完了するために、セキュリティチームはどの手順を組み合わせて実行する必要がありますか? （2つ選んでください。)
- ec2:MetadataHttpTokens 条件キーが必須に設定されていない場合に ec2:runinstances アクションを拒否する IAM ポリシーを作成して適用します。
- http-put-response-hop-limit 0 オプションを指定して AWS CLI から ec2 modify-instance-metadata-options コマンドを使用します。
- –http-tokens オプションを指定して AWS CLI から ec2 modify-instance-metadata-options コマンドを使用します。
- インスタンスセキュリティグループを変更して、169.254.169.254 へのすべての送信 HTTP トラフィックを拒否します。
- 各 AWS アカウントの EC2 インスタンスから、次のコマンドを実行します。
正解

不正解
質問 10 of 10

10. 質問
- 1
- 2
- 3
【SCS-290】ある企業がAmazon EC2インスタンスのユーザーデータに機密情報を含むスクリプトを使用しています。
セキュリティエンジニアは、現在この機密情報が意図しないユーザーに閲覧可能であることを発見しました。
インスタンスのユーザーデータスクリプトに使用される機密情報を保護するための最も安全な方法は何ですか？
- スクリプトをAMIに記載して、AWS KMSを使用して機密データを暗号化します。データの復号化に、必要なKMSキーへのアクセスをインスタンスプロファイルを使用して制御します。
- AWS Systems Manager Parameter Storeに、機密情報を暗号化して保存します。EC2インスタンスに関連付けているIAMロールにGetParametersの権限を割り当てます。
- ユーザーデータスクリプトをAmazon S3に保存し、AWS KMSを使用して暗号化します。EC2インスタンスからスクリプトを削除し、ログをクリアします。
- IAMポリシーでEC2インスタンスのメタデータに対するユーザーのアクセスをブロックします。スクリプトをすべて削除し、実行後のログを消去します。
正解

不正解

通知

通知対象

Please login to comment

0 Comments

新しい順

古い順得票数

Inline Feedbacks

コメントを全て表示

コメントする

コメントするコメントをキャンセル

コメントを投稿するにはログインしてください。

error:

wpDiscuz