SCS-C03 Korean 無料問題集「Amazon AWS Certified Security - Specialty (SCS-C03 Korean Version)」

（A）SCP를 사용하여 lambda:FunctionUrlAuthType 조건 키 값이 AWS_IAM인 모든 lambda:CreateFunctionUrlConfig 및 lambda:UpdateFunctionUrlConfig 작업을 허용합니다.

（B）개발자가 다른 도메인에서 함수를 호출할 때 CORS(교차 출처 리소스 공유)를 지원하도록 모든 함수 URL을 구성하도록 요구합니다.

（C）SCP를 사용하여 lambda:FunctionUrlAuthType 조건 키 값이 NONE인 모든 lambda:CreateFunctionUrlConfig 및 lambda:UpdateFunctionUrlConfig 작업을 거부합니다.

（D）AWS WAF 위임 관리자 계정을 사용하여 프로덕션 계정에서 함수를 사용하는 계정의 OU를 기반으로 함수 URL에 대한 인증되지 않은 액세스를 보고 차단할 수 있습니다.

（A）대상 인스턴스의 서브넷과 연결된 네트워크 ACL을 생성합니다. 인바운드 규칙 세트의 맨 위에 0.0.0.0/0에서 들어오는 모든 트래픽을 차단하는 규칙을 추가합니다. 아웃바운드 규칙 세트의 맨 위에 0.0.0.0/0으로 나가는 모든 트래픽을 차단하는 규칙을 추가합니다.

（B）모든 인바운드 및 아웃바운드 트래픽을 차단하는 호스트 수준 방화벽 규칙을 추가하는 AWS Systems Manager 문서를 생성합니다. 대상 인스턴스에서 해당 문서를 실행합니다.

（C）보안 그룹에 0.0.0.0/0에서 들어오는 트래픽을 모든 포트에 대해 허용하는 인바운드 규칙을 추가합니다. 보안 그룹에 0.0.0.0/0으로 나가는 트래픽을 모든 포트에 대해 허용하는 아웃바운드 규칙을 추가합니다. 그런 다음 이 규칙들을 즉시 삭제합니다.

（D）포트 22 보안 그룹 규칙을 제거합니다. 포렌식 팀이 대상 인스턴스에 액세스할 수 있도록 AWS Systems Manager Session Manager 연결을 허용하는 인스턴스 역할 정책을 연결합니다.

（A）조직의 관리 계정에 AWS 서비스 카탈로그 포트폴리오를 생성합니다. CloudFormation 템플릿을 업로드합니다. 포트폴리오의 제품 목록에 템플릿을 추가합니다. 포트폴리오를 OU와 공유합니다.

（B）CloudFormation CLI를 사용하여 CloudFormation 템플릿에서 모듈을 생성합니다. CloudFormation 레지스트리에 모듈을 비공개 확장으로 등록합니다. 확장을 게시합니다. OU에서 확장에 대한 액세스를 허용하는 SCP를 생성합니다.

（C）조직의 관리 계정에 AWS 서비스 카탈로그 포트폴리오를 생성합니다. CloudFormation 템플릿을 업로드합니다. 포트폴리오의 제품 목록에 템플릿을 추가합니다. OU 계정의 사용자가 포트폴리오에 교차 계정으로 액세스할 수 있도록 허용하는 신뢰 정책이 있는 IAM 역할을 생성합니다. AWSServiceCatalogEndUserFullAccess 관리형 정책을 해당 역할에 연결합니다.

（D）CloudFormation CLI를 사용하여 CloudFormation 템플릿에서 모듈을 생성합니다. CloudFormation 레지스트리에 모듈을 비공개 확장으로 등록합니다. 확장을 게시합니다. 확장을 OU와 공유합니다.

（A）S3 객체 잠금이 활성화된 Amazon S3 버킷을 생성합니다. 모든 kms.amazonaws.com CreateKey 이벤트에 대해 이벤트 선택기와 로그 파일 유효성 검사가 활성화된 AWS CloudTrail 트레일을 생성합니다.
CreateKey 이벤트를 S3 버킷으로 전송하도록 이벤트 선택기를 구성합니다. KMS 키를 생성합니다.
이벤트 선택기를 업데이트하여 KMS 키 ARN을 참조하는 API 호출을 필터링하도록 합니다. 감사 담당자에게 S3 버킷에 대한 액세스 권한을 제공합니다.

（B）KMS 키 사용량을 추적하기 위해 사용자 지정 메트릭으로 Amazon CloudWatch Logs Insights를 설정합니다. 실시간 모니터링 기능을 갖춘 CloudWatch 대시보드를 사용하여 메트릭을 시각화합니다. CloudWatch 알람을 구성합니다. 구독 필터를 사용하여 감사자가 검토할 수 있도록 데이터를 별도의 계정으로 복제합니다.

（C）감사자가 접근할 수 있는 Amazon DynamoDB 테이블을 생성합니다. Amazon EventBridge 규칙이 호출하는 AWS Lambda 함수를 생성합니다. KMS API 호출을 모니터링하도록 EventBridge 규칙을 구성합니다. KMS 키 ARN을 참조하는 모든 API 호출을 필터링하도록 EventBridge 규칙을 구성합니다.
Lambda 함수가 API 호출 내용을 DynamoDB 테이블에 저장하도록 구성합니다.

（D）KMS 키를 참조하는 애플리케이션 작업에 대한 로깅을 구현합니다. 로그에 모든 관련 메타데이터가 포함되도록 합니다. 로그를 Amazon CloudWatch Logs 로그 그룹에 저장합니다.
로그 그룹의 자동 내보내기를 구성하고, 내보낸 파일을 감사 담당자에게 전송합니다.

（A）10.0.1.5에서 오는 포트 22의 TCP 트래픽을 거부하기 위해 네트워크 ACL에 우선순위 10의 새 인바운드 규칙을 추가합니다.

（B）AWS 관리 콘솔 또는 AWS CLI를 사용하여 EC2 인스턴스를 다시 시작합니다.

（C）10.0.0.0/16에서 포트 22로 들어오는 TCP 트래픽을 허용하는 보안 그룹 규칙을 제거합니다.

（D）인터넷 게이트웨이로 가는 경로를 제거하도록 라우팅 테이블을 업데이트합니다.

（A）AWS KMS에서 Amazon S3용 AWS 관리형 키를 생성합니다.

（B）S3 버킷의 SSE-S3 구성을 AWS KMS 관리형 키를 사용하는 서버 측 암호화(SSE-KMS)로 변경합니다.

（C）AWS 키 관리 서비스(AWS KMS)에서 새 고객 관리 키를 생성합니다.

（D）버킷의 모든 S3 객체가 새 암호화 키를 사용하도록 변경합니다.

（E）업로드 전에 PHP SDK가 SSE-S3 키를 사용하도록 구성합니다.

（F）S3 버킷의 SSE-S3 구성을 고객 제공 키를 사용하는 서버 측 암호화(SSE-C)로 변경합니다.

（A）CloudFront 표준 로깅 및 CloudWatch Logs 메트릭 필터를 구성합니다.

（B）속도 기반 규칙으로 AWS WAF 웹 ACL을 구성합니다. 이를 CloudFront와 연결합니다. SNS에 알림을 보내도록 CloudWatch 알람을 생성합니다.

（C）ASN 일치 규칙 및 CloudWatch 알람을 사용하여 AWS WAF 웹 ACL을 구성합니다.

（D）VPC 흐름 로그 및 CloudWatch 로그 메트릭 필터를 구성합니다.

（A）활성 DDoS 이벤트를 감지하기 위해 AWS Firewall Manager 메트릭을 모니터링하는 Amazon CloudWatch 알람을 생성합니다.

（B）Amazon Macie를 사용하여 활성 DDoS 이벤트를 감지하고 Macie의 감지 결과에 따라 대응하는 Amazon CloudWatch 알람을 생성합니다.

（C）활성 DDoS 이벤트에 대한 AWS Shield Advanced 메트릭을 모니터링하는 Amazon CloudWatch 알람을 생성합니다.

（D）Amazon Inspector를 사용하여 리소스를 검토하고 DDoS 공격에 취약한 리소스에 대해 Amazon CloudWatch 경보를 호출하세요.

（A）EC2 인스턴스의 AMI에서 EC2 인스턴스 연결을 활성화합니다. 적절한 보안 그룹 규칙을 구성합니다. DevOps 팀이 EC2 인스턴스 연결에 액세스할 수 있도록 EC2 콘솔 액세스 권한을 부여합니다.

（B）AWS Systems Manager에 대한 액세스 권한을 부여하는 EC2 인스턴스 역할을 할당합니다. Systems Manager 세션 관리자에 대한 액세스 권한을 부여하는 IAM 정책을 생성합니다. 해당 정책을 DevOps 팀의 IAM 역할에 할당합니다.

（C）계정 수준에서 EC2 시리얼 콘솔에 대한 액세스 권한을 부여합니다. DevOps 팀의 IAM 역할이 EC2 시리얼 콘솔에 액세스할 수 있도록 허용하는 IAM 정책을 생성합니다.

（D）AWS Systems Manager Automation 런북을 사용하여 EC2 인스턴스에 대한 원격 액세스 포트를 엽니다. 런북 실행을 허용하려면 EC2 인스턴스에 역할을 연결합니다.

（A）Trusted Advisor와 함께 Inspector를 사용하세요.

（B）Trusted Advisor와 함께 Macie를 사용하세요.

（C）Amazon Macie 및 Security Hub 관리 권한을 위임합니다.

（D）Security Hub와 함께 Amazon Inspector를 사용하세요.

（A）GuardDuty 관리자 계정을 지정하고 보호 기능을 활성화합니다.

（B）Kinesis로 스트림 로그를 전송하고 Lambda로 처리합니다.

（C）CloudTrail 로그를 중앙 집중화하고 Athena를 사용하여 쿼리합니다.

（D）CloudWatch 로그를 중앙 집중화하고 Inspector를 사용합니다.

（A）eu-north-1에 새 고객 관리 키를 할당합니다. eu--1에 대한 별칭을 생성합니다. 애플리케이션 코드가 eu--1에 대한 별칭을 가리키도록 변경합니다.

（B）해당 리전에 배포된 애플리케이션에서 사용할 새 고객 관리 키를 eu-north-1에 할당합니다.

（C）eu-north-1에 새 고객 관리 키를 할당합니다. 두 키에 동일한 별칭 이름을 생성합니다.
키 별칭을 사용하도록 애플리케이션 배포를 구성합니다.

（D）eu-west-1의 키 정책을 업데이트합니다. eu-north-1의 애플리케이션이 eu-west-1의 애플리케이션과 동일한 고객 관리 키를 사용하도록 지정합니다.

（A）EventBridge 규칙의 이벤트 패턴에서 ProductArn 속성 값을 다음과 같이 수정합니다.
"anything-but": ["arn:aws:securityhub:us-west-2::product/ aws/inspector"].

（B）Amazon Inspector를 제외한 모든 서비스의 결과를 EventBridge 이벤트 버스로 자동으로 전송하는 Security Hub 사용자 지정 작업을 생성합니다.

（C）Amazon Inspector에서 발생하는 이벤트의 패턴 일치 항목을 찾고 결과를 숨기도록 Lambda 함수 코드를 업데이트합니다.

（D）애플리케이션으로 메시지를 전송하기 위해 Amazon Simple Notification Service(Amazon SNS) 토픽을 생성합니다. 토픽 구독에 필터 정책을 설정하여 product/aws/inspector 문자열이 포함된 메시지를 거부합니다.