問題251-問題260 (SAP)

【SCS-251】あるセキュリティエンジニアは、暗号化がAmazon S3バケットexamplebucketで有効になっていたものの、バケットにアクセスできる人は誰でもファイルを取得できるようになっていたことを発見しました。
エンジニアは、各IAMユーザーが割り当てられたフォルダにのみアクセスできるようにアクセスを制限したいと考えています。
これを達成するには、どのようにするのが適切ですか？

【SCS-252】ある企業は、アカウント 0123456789 の us-east1 リージョンの Amazon DynamoDB テーブルへのアクセスを制限する必要があります。
ユーザーがこのエンドポイント「vpce-11aa22bb」を介してテーブルにアクセスしない限り、すべてのユーザーは us-east-1 の DynamoDB テーブルを操作する権限を拒否する必要があります。
この要件を強制する IAM ステートメントはどれですか?

ある革新的なビジネスプロセスアウトソーシング（BPO）の新興企業が、AWSを使用して拡張性と費用対効果の高いコールセンターシステムの立ち上げを計画しています。
このシステムは、何千人もの顧客からのインバウンドコールを受信し、ユーザーのコンタクトフローを生成する必要があります。
コールセンターの担当者と話すことなく、パスワードの変更や残高の確認といった基本的な作業を行えるようにする必要があります。
また、リアルな会話のやり取りを実現するために、自動音声認識（ASR）などの高度なディープラーニング機能を備えている必要があります。
他のビジネスアプリケーションに照会し、関連データを発信者に送り返す機能も実装する必要があります。

ソリューションアーキテクトが実装すべき最も適切なソリューションは次のうちどれですか？

【SCS-254】ある顧客アカウントのAmazon EC2インスタンスが不自然な挙動を示しているとして、セキュリティ警告が発報されました。
セキュリティエンジニアは、まずEC2インスタンスを分離し、さらに調査するためのツールを使用する必要があります。
セキュリティエンジニアは、このイベントを分離して調査するために何を使用すべきですか？(3つ選んでください)

【SCS-255】ある企業が、事前に定義されたスケジュールで Amazon EC2 インスタンスで cron ジョブを実行しています。
このcron ジョブは、2 KB のファイルを暗号化する bash スクリプトを呼び出します。
セキュリティエンジニアは、キーポリシーを使用して AWS Key Management Service (AWS KMS) CMK を作成します。
キーポリシーと EC2 インスタンス ロールには、このジョブに必要な構成があります。
ファイルを暗号化するために bash スクリプトが使用するプロセスはどれですか?

【SCS-256】ある組織が、世界中のユーザーにサービスを提供するWebアプリケーションを運営しています。
このアプリケーションは、アプリケーションロードバランサーの後ろにあるAmazon EC2インスタンス上で実行されます。
ロードバランサーの前にAmazon CloudFrontがあり、AWS WAFを使用しています。
このアプリケーションは、現在、人気モバイルゲームのバグを悪用した攻撃を受け続けています。
このアプリケーションには、User-Agentが次の文字列に設定されたHTTPリクエストが世界中から殺到しています。
Mozilla/5.0 (互換性あり; ExampleCorp;ExampleGame/1.22; Mobile/1.0)このバグに起因する攻撃をブロックし、正当なリクエストへの対応を継続するために、どのような緩和策が考えられるでしょうか。

【SCS-257】ある企業は、Amazon S3 に保存されているデータが一般に公開されるのを防ぎたいと考えています。
この要件を満たすために、セキュリティエンジニアはどの手順を組み合わせて実行する必要がありますか? （2つ選んでください。)

【SCS-258】ある会社には、パブリックにアクセス可能なサブネットと、プライベートにアクセス可能なサブネットを含む VPC があります。
両方のサブネットは、パブリックインターネット経由で会社のデータセンター宛てのネットワークトラフィックを送信します。
パブリックサブネットは、ネットワークトラフィックが VPC のインターネットゲートウェイを通過するためのデフォルトルートを持つルートテーブル A を使用します。
プライベートサブネットはルートテーブル B を使用します。
ルートテーブル B には、ネットワークトラフィックが VPC 内の NAT ゲートウェイを通過するためのデフォルトルートがあります。
最近、同社はデータセンターの 1 つから VPC への AWS サイト間 VPN 接続を作成しました。
トンネルはアクティブであり、カスタマーゲートウェイと仮想プライベートゲートウェイの間で機能しています。
VPC とデータセンターの CIDR ブロックは重複していません。
会社のセキュリティポリシーの都合で、VPC からデータセンターに移動するすべてのネットワークトラフィックはパブリックインターネットを通過してはなりません。
セキュリティエンジニアは、パブリックサブネットとプライベートサブネット内のリソースがパブリックインターネット経由でデータセンターにトラフィックを送信していることを確認します。
どの手順の組み合わせが、VPC から発信されるすべてのネットワークトラフィックがデータセンターとの通信にパブリックインターネットを使用しないことを保証しますか？（2つ選んでください。)

【SCS-259】ある会社は、Amazon CloudFrontを使用する選挙結果報告ウェブサイトを実装しています。
このウェブサイトは、オートスケーリンググループのアプリケーションロードバランサー（ALB）の背後にあるAmazon EC2インスタンスのフリート上で実行されます。
選挙結果は1時間ごとに更新され、Amazon S3バケットにpdfファイルとして保存されます。
セキュリティエンジニアは、ウェブサイトへのすべての外部アクセスがCloudFrontを経由することを保証する必要があります。
どのソリューションがこの要件を満たすでしょうか?

【SCS-260】ある会社は、AWS上で実行されているいくつかのワークロードを持っています。
従業員は、AWS ManagementConsoleにアクセスするために、オンプレミスのADFSとSSOを使用して認証することが要求されます。
開発者は、既存のレガシーWebアプリケーションをAmazon EC2インスタンスに移行した。
従業員はインターネット上のどこからでもこのアプリケーションにアクセスする必要があるものの、現在、アプリケーションには認証システムが組み込まれていません。
セキュリティエンジニアは、アプリケーションを変更せずに、このシステムに従業員のみのアクセスをどのように実装すればよいでしょうか？