完全版SCS-C01日本語練習テスト530特別な問題と解答が待ってます！ [Q176-Q195]

完全版SCS-C01日本語練習テスト530特別な問題と解答が待ってます！

AWS Certified Security問題集でSCS-C01日本語試験完全版問題で試験学習ガイド

質問 176
コンプライアンス上の理由から、セキュリティエンジニアは、最新の承認済みパッチが適用されていないインスタンスをリストする週次レポートを作成する必要があります。また、エンジニアは、承認された最新のアップデートが適用されない限り、システムが30日を超えないことを確認する必要があります。これらの目標を達成するための最も効率的な方法は何ですか。

• A. AWS CloudTrail togsを調べて、過去30日間に再起動していないインスタンスがあるかどうかを判断し、それらのインスタンスを再デプロイします
• B. インスタンスパッチのコンプライアンスについてレポートし、定義されたメンテナンスウィンドウ中に更新を実施するようにAmazon EC2 Systems Managerを構成します
• C. AMlsを最新の承認済みパッチで更新し、定義されたメンテナンス期間中に各インスタンスを再デプロイします
• D. Amazonインスペクターを使用して、最新のパッチが適用されていないシステムを特定し、30日後に、それらのインスタンスを最新のAMIバージョンで再デプロイします

正解: B

 

質問 177
会社はAWSでEC2インスタンスのセットをホストしています。 AWS EC2インスタンスでポートスキャンが発生したかどうかを検出する必要があります。この点で役立つのは次のうちどれですか？
選んでください：

• A. AWS Guard Dutyを使用して、悪意のあるポートスキャンを監視します
• B. AWS Trusted Advisorを使用して、悪意のあるポートスキャンを通知します
• C. AWSインスペクターを使用して、ポートスキャンのインスタンスを意識的に検査します
• D. AWS Configを使用して、悪意のあるポートスキャンを通知します

正解: A

解説:
説明
AWSのブログでは、AWS GuardDutyの使用をサポートするために、GuardDutyがいくつかの脅威インテリジェンスフィードを含む複数のデータストリームを貪欲に消費し、悪意のあるアドレス、不正なドメイン、さらに重要なこととして、AWSの悪意のあるまたは不正な動作を正確に識別することをサポートするために次のことに言及していますアカウント。 VPCフローログ、AWS CloudTrailイベントログ、およびDNSログから収集した情報と組み合わせることで、GuardDutyは、既知の脆弱性のプローブ、ポートスキャンとプローブ、異常な場所からのアクセスなど、さまざまな種類の危険でいたずらな動作を検出できます。 AWS側では、不正なデプロイ、異常なCloudTrailアクティビティ、AWS API機能へのアクセスパターン、複数のサービス制限を超えようとする試みなど、疑わしいAWSアカウントアクティビティを探します。 GuardDutyは、悪意のあるエンティティまたはサービスと通信している侵害されたEC2インスタンス、データ流出の試み、および暗号通貨をマイニングしているインスタンスも探します。
これらのサービスはポートスキャンの検出に使用できないため、オプションA、B、およびCは無効です。AWSGuard Dutyの詳細については、以下のリンクを参照してください。
https://aws.amazon.com/blogs/aws/amazon-guardduty-continuous-security-monitoring-threat-detection; （正解は、AWS Guard Dutyを使用して、悪意のあるポートスキャンを監視することです。フィードバックやクエリをエキスパートに送信してください。

 

質問 178
ウェブサイトは現在AmazonEC2で実行されており、サイトにはほとんど静的なコンテンツがあります。最近、サイトはODoS攻撃にさらされ、セキュリティエンジニアは、将来このリスクを軽減するためにエッジセキュリティを再設計する任務を負いました。エンジニアがこれを達成できる方法は何ですか。 （3つ選択）

• A. セキュリティグループの構成を変更して、攻撃トラフィックの送信元をブロックします
• B. 状態コンテンツをAmazon S3に移動し、AmazonCloudFrontディストリビューションでこれをフォント化します
• C. AWS X-Rayを使用して、EC2インスタンスを通過するトラフィックを検査します
• D. AWSWAFセキュリティルールを使用してインバウンドトラフィックを検査します
• E. Amazon Route53を使用してトラフィックを分散します
• F. Amazonインスペクター評価テンプレートを使用してインバウンドトラフィックを検査します

正解: B,D,E

 

質問 179
企業は、ITインフラストラクチャのほとんどをAWSに移行する予定です。既存のオンプレミスActive DirectoryをAWSのIDプロバイダーとして活用したいと考えています。
セキュリティエンジニアは、会社のオンプレミスActive DirectoryとAWSをフェデレートするために、どの組み合わせの手順を実行する必要がありますか？ （2つ選択してください。）

• A. 各Active Directoryグループに対応するアクセス許可でIAMグループを作成します。
• B. Active DirectoryとAWSの間に証明書利用者の信頼を追加するようにAmazon Cognitoを設定します。
• C. SAMLプロバイダーをサポートするようにAmazon Cloud Directoryを構成します。
• D. 各Active Directoryグループに対応するアクセス許可を持つIAMロールを作成します。
• E. Active DirectoryとAWSの間に証明書利用者の信頼を追加するようにActive Directoryを構成します。

正解: D,E

 

質問 180
会社には、AWSクラウドで定義された一連のリソースがあります。 IT監査部門は、アカウント全体で定義されているリソースのリストの取得を要求しています。これを最も簡単な方法でどのように達成できますか？
選んでください：

• A. AWS CLIを使用してpowershellスクリプトを作成します。 productionのタグを持つすべてのリソースを照会します。
• B. AWS CLIを使用してbashシェルスクリプトを作成します。すべての地域のすべてのリソースを照会します。結果をS3バケットに保存します。
• C. Cloud Trailを使用して、すべてのリソースのリストを取得します
• D. AWS Configを使用して、すべてのリソースのリストを取得します

正解: D

解説:
Explanation
The most feasible option is to use AWS Config. When you turn on AWS Config, you will get a list of resources defined in your AWS Account.
A sample snapshot of the resources dashboard in AWS Config is shown below

Option A is incorrect because this would give the list of production based resources and now all resources Option B is partially correct But this will just add more maintenance overhead.
Option C is incorrect because this can be used to log API activities but not give an account of all resou For more information on AWS Config, please visit the below URL:
https://docs.aws.amazon.com/config/latest/developereuide/how-does-confie-work.html The correct answer is: Use AWS Config to get the list of all resources Submit your Feedback/Queries to our Experts

 

質問 181
企業は、無効または悪意のあるコンテンツについてIPパケットデータを検査することを要求しています。
この要件を達成するアプローチは次のうちどれですか？ （2つ選択してください。）

• A. VPC内の各EC2インスタンスでCloudWatch Logsエージェントを設定します。 CloudWatch Logs内のログデータから検査を実行します。
• B. Elastic Load Balancing（ELB）アクセスログを構成します。 ELBアクセスログファイル内のログデータから検査を実行します。
• C. VPC内の各EC2インスタンスでホストベースのエージェントを設定します。ホストベースのエージェント内で検査を実行します。
• D. VPCのすべてのサブネットのVPCフローログを有効にします。 Amazon CloudWatch Logs内のFlow Logデータから検査を実行します。
• E. Amazon EC2でプロキシソリューションを構成し、すべてのアウトバウンドVPCトラフィックをルーティングします。 EC2インスタンスのプロキシソフトウェア内で検査を実行します。

正解: C,E

解説:
Explanation
"EC2 Instance IDS/IPS solutions offer key features to help protect your EC2 instances. This includes alerting administrators of malicious activity and policy violations, as well as identifying and taking action against attacks. You can use AWS services and third party IDS/IPS solutions offered in AWS Marketplace to stay one step ahead of potential attackers."

 

質問 182
AWS IAM（アイデンティティとアクセス管理）をオンプレミスLDAP（ライトウェイトディレクトリアクセスプロトコル）ディレクトリサービスと統合するために使用できる手法はどれですか？
選んでください：

• A. SAML（セキュリティアサーションマークアップ言語）を使用して、AWSとLDAP間のシングルサインオンを有効にします。
• B. LDAPアカウント識別子とAWS認証情報を参照するIAMポリシーを使用します。
• C. IDブローカーからAWS Security Token Serviceを使用して、存続期間の短いAWS認証情報を発行します。
• D. IAMロールを使用して、LDAP認証情報が更新されたときにIAM認証情報を自動的にローテーションします。

正解: A

解説:
Explanation
On the AWS Blog site the following information is present to help on this context The newly released whitepaper. Single Sign-On: Integrating AWS, OpenLDAP, and Shibboleth, will help you integrate your existing LDAP-based user directory with AWS. When you integrate your existing directory with AWS, your users can access AWS by using their existing credentials. This means that your users don't need to maintain yet another user name and password just to access AWS resources.
Option A.C and D are all invalid because in this sort of configuration, you have to use SAML to enable single sign on.
For more information on integrating AWS with LDAP for Single Sign-On, please visit the following URL:
https://aws.amazon.eom/blogs/security/new-whitepaper-sinEle-sign-on-inteErating-aws-openldap-and-shibboleth The correct answer is: Use SAML (Security Assertion Markup Language) to enable single sign-on between AWS and LDAP. Submit your Feedback/Queries to our Experts

 

質問 183
セキュリティエンジニアは、企業のAWSアカウントで起動されたすべてのインフラストラクチャのコンプライアンスルールからの逸脱を監視する必要があります。具体的には、指定されたAM IsのリストのいずれかからすべてのEC2インスタンスが起動され、接続されたすべてのEBSボリュームが暗号化されるようにします。準拠していないインフラストラクチャは終了する必要があります。エンジニアはどのステップの組み合わせを実装する必要がありますか？以下のオプションから2つの回答を選択します。
選んでください：

• A. Amazonインスペクターの調査結果に基づいてCloudWatchイベントをセットアップする
• B. Trusted Advisorメトリックに基づいてCloudWatchイベントを設定します
• C. 構成の変更によってトリガーされるAWS構成ルールのコンプライアンスを監視する
• D. インフラストラクチャを終了するCloudWatchイベントからCLIコマンドをトリガーします
• E. 準拠していないインフラストラクチャを終了する、スケジュールされたCloudWatchイベントからLambda関数をトリガーします。

正解: C,E

解説:
説明
AWS Configを使用して、このようなイベントを監視できます
Trusted Advisorチェックに基づいてCloudwatchイベントを設定できないため、オプションAは無効です。
オプションCは無効ですCLIコマンドのトリガーは優先オプションではないため、Amazonインスペクターを使用して特定のAからインスタンスが起動されているかどうかを確認することはできません。代わりに、Lambda関数をすべての自動化目的に使用する必要があります
構成ルールの詳細については、以下のリンクを参照してください。
https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config-rules.htmlこれらのイベントは、ラムダ関数をトリガーしてインスタンスを終了できます。Cloudwatchイベントの詳細については、以下のリンクを参照してください。
https://docs.aws.amazon.com/AmazonCloudWatch/latest/events/WhatlsCloudWatchEvents。
（
正しい答えは次のとおりです。非準拠インフラストラクチャを終了する、スケジュールされたCloudwatchイベントからLambda関数をトリガーします。設定の変更によってトリガーされたAWS構成ルールのコンプライアンスを監視します。

 

質問 184
企業は、無効または悪意のあるコンテンツについてIPパケットデータを検査することを要求しています。
この要件を達成するアプローチは次のうちどれですか？ （2つ選択してください。）

• A. VPC内の各EC2インスタンスでCloudWatch Logsエージェントを設定します。 CloudWatch Logs内のログデータから検査を実行します。
• B. Elastic Load Balancing（ELB）アクセスログを構成します。 ELBアクセスログファイル内のログデータから検査を実行します。
• C. VPC内の各EC2インスタンスでホストベースのエージェントを設定します。ホストベースのエージェント内で検査を実行します。
• D. VPCのすべてのサブネットのVPCフローログを有効にします。 Amazon CloudWatch Logs内のFlow Logデータから検査を実行します。
• E. Amazon EC2でプロキシソリューションを構成し、すべてのアウトバウンドVPCトラフィックをルーティングします。 EC2インスタンスのプロキシソフトウェア内で検査を実行します。

正解: C,E

 

質問 185
次のバケットポリシーのどれが、「デモ」と呼ばれるバケットにアップロードされるオブジェクトが確実に暗号化されるようにします。
選んでください：

• A. オプション
  
• B. オプション
  
• C. オプション
  
• D. オプション
  

正解: B

解説:
The condition of "s3:x-amz-server-side-encryption":"aws:kms" ensures that objects uploaded need to be encrypted.
Options B,C and D are invalid because you have to ensure the condition of ns3:x-amz-server-side-encryption":"aws:kms" is present For more information on AWS KMS best practices, just browse to the below URL:
https://dl.awsstatic.com/whitepapers/aws-kms-best-praaices.pdf

Submit your Feedback/Queries to our Expert

 

質問 186
組織には、AWSで実行される3つのアプリケーションがあり、それぞれがAmazon S3の同じデータにアクセスします。 Amazon S3のデータは、AWS KMSカスタマーマスターキー（CMK）を使用してサーバー側で暗号化されます。
各アプリケーションがKMS CMKに対して独自のプログラムによるアクセス制御権限を持っていることを確認するための推奨方法は何ですか？

• A. 各アプリケーションに、ユーザーコンテキストでIAMポリシーを使用して、KMS CMKに対する特定のアクセス許可を付与します。
• B. Amazon S3のデータにアクセスする必要がある場合、各アプリケーションのKMS CMKに関連付けられているキーポリシーのアクセス許可を変更します。
• C. 各アプリケーションに、AWS Certificate Manager CMKを使用するアクセス許可を提供するIAMロールを引き受けます。
• D. 各アプリケーションにKMS CMKの許可を使用して、KMS CMKの特定のアクセス制御を追加または削除します。

正解: D

 

質問 187
会社のAWSアカウントのCloudtrailログを有効にしました。さらに、ITセキュリティ部門は、ログを暗号化する必要があると述べています。どうすればこれを達成できますか？
選んでください：

• A. CloudtrailログのSSL証明書を有効にします
• B. 証跡のサーバー側暗号化を有効にします
• C. 宛先S3バケットのサーバー側暗号化を有効にします
• D. ログはすでに暗号化されているため、何もする必要はありません

正解: D

解説:
説明
AWSのドキュメントには次のことが記載されています。
デフォルトでは、CloudTrailイベントログファイルはAmazon S3サーバー側暗号化（SSE）を使用して暗号化されます。 AWS Key Management Service（AWS KMS）キーでログファイルを暗号化することもできます。必要な限り、ログファイルをバケットに保存できます。 Amazon S3ライフサイクルルールを定義して、ログファイルを自動的にアーカイブまたは削除することもできます。 loファイルの配信と検証に関する通知が必要な場合は、Amazon SNS通知を設定できます。
ログはすでに暗号化されているため、オプションA.CおよびDは無効です
Cloudtrailの機能の詳細については、次のURLにアクセスしてください。
https://docs.aws.amazon.com/awscloudtrail/latest/usereuide/how-cloudtrail-works.htmll正しい答えは次のとおりです。ログはすでに暗号化されているため、何もする必要はありません。私たちの専門家

 

質問 188
AWS KMSサービスを使用して作成された顧客キーのセットがあります。これらのキーは、
6ヶ月。現在、既存のキーセットに新しいKMS機能を使用しようとしていますが、使用できません。これの理由は何でしょうか。
選んでください：

• A. 午前1時の役割を介してアクセス権を付与していません
• B. 1AMポリシーを介して明示的にアクセス権を付与していない
• C. 午前1時のユーザーを介して明示的にアクセス権を付与していない
• D. 鍵ポリシーを介して明示的にアクセス権を付与していません

正解: D

解説:
説明
デフォルトでは、KMSで作成されたキーはデフォルトのキーポリシーで作成されます。 KMSに機能が追加されると、これらのキーの既定のキーポリシーを明示的に更新する必要があります。
キーポリシーはキーへのアクセスを提供するために使用される主要エンティティであるため、オプションB、C、およびDは無効です。キーポリシーのアップグレードの詳細については、次のURLにアクセスしてください。
https://docs.aws.ama20n.com/kms/latest/developerguide/key-policy-upgrading.html（正しい答えは次のとおりです。キーポリシーを使用して明示的にアクセス権を付与していません。

 

質問 189
会社のAWSアカウントは約300人のIAMユーザーで構成されています。現在、100人のIAMユーザーがS3に対して無制限の権限を持つためにはアクセスの変更が必要であるという義務がありますが、システム管理者として、個々のユーザーレベルでポリシーを適用する必要がないように、これを効果的に実装するにはどうすればよいですか？
選んでください：

• A. IAMグループを使用し、ロールに基づいてユーザーを異なるグループに追加し、グループにポリシーを適用します
• B. ポリシーを作成し、JSONスクリプトを使用して複数のユーザーに適用します
• C. 新しいロールを作成し、各ユーザーをIAMロールに追加します
• D. 各ユーザーのAWSアカウントIDを含む無制限アクセスのS3バケットポリシーを作成します

正解: A

解説:
Explanation
Option A is incorrect since you don't add a user to the IAM Role
Option C is incorrect since you don't assign multiple users to a policy Option D is incorrect since this is not an ideal approach An IAM group is used to collectively manage users who need the same set of permissions. By having groups, it becomes easier to manage permissions. So if you change the permissions on the group scale, it will affect all the users in that group For more information on IAM Groups, just browse to the below URL:
https://docs.aws.amazon.com/IAM/latest/UserGuide/id_eroups.html
The correct answer is: Use the IAM groups and add users, based upon their role, to different groups and apply the policy to group Submit your Feedback/Queries to our Experts

 

質問 190
会社がAWS S3バケットに機密データをホストしています。バケットが常にプライベートのままであることを確認する必要があります。どうすればこれを継続的に保証できますか？以下のオプションから2つの回答を選択してください。

• A. AWS Lambda関数を使用してバケットACLを変更する
• B. AWS Trusted Advisor APIを使用して、AWSバケットへの変更を監視します
• C. AWS Configを使用してAWSバケットへの変更を監視する
• D. AWS Lambda関数を使用してバケットポリシーを変更する

正解: A,C

解説:
One of the AWS Blogs mentions the usage of AWS Config and Lambda to achieve this. Below is the diagram representation of this

ption C is invalid because the Trusted Advisor API cannot be used to monitor changes to the AWS Bucket Option B doesn't seems to be the most appropriate.
1. If the object is in a bucket in which all the objects need to be private and the object is not private anymore, the Lambda function makes a PutObjectAcI call to S3 to make the object private.
|https://aws.amazon.com/blogs/security/how-to-detect-and-automatically-remediate-unintended-permissions-in-amazon-s3-bbiect-acls-with-cloudwatch-events/ The following link also specifies that Create a new Lambda function to examine an Amazon S3 buckets ACL and bucket policy. If the bucket ACL is found to al public access, the Lambda function overwrites it to be private. If a bucket policy is found, the Lambda function creatt an SNS message, puts the policy in the message body, and publishes it to the Amazon SNS topic we created. Bucket policies can be complex, and overwriting your policy may cause unexpected loss of access, so this Lambda function doesn't attempt to alter your policy in any way.
https://aws.amazon.com/blogs/security/how-to-use-aws-config-to-monitor-for-and-respond-to-amazon-s3-buckets-allowinj Based on these facts Option D seems to be more appropriate then Option B.
For more information on implementation of this use case, please refer to the Link:
https://aws.amazon.com/blogs/security/how-to-use-aws-config-to-monitor-for-and-respond-to-amazon-s3-buckets-allowinj The correct answers are: Use AWS Config to monitor changes to the AWS Bucket Use AWS Lambda function to change the bucket ACL

 

質問 191
ある会社がAmazonGuardDutyをus-east-1リージョンに展開しました。同社は、自社のAmazonEC2インスタンスに関連するすべてのDNSログを検査することを望んでいます。 EC2インスタンスがログに記録されるようにするには、セキュリティエンジニアは何をする必要がありますか？

• A. ホスト名用に構成されたIPv6アドレスを使用します。
• B. すべてのEC2インスタンスのロギングを使用してサードパーティのDNSリゾルバーを設定します。
• C. すべてのEC2インスタンスにAWSDNSリゾルバーを使用します。
• D. 外部DNSリゾルバーをAWSにのみ表示される内部リゾルバーとして設定します。

正解: C

 

質問 192
組織には複数の1AMユーザーが設定されています。組織は、各1AMユーザーが外部からではなく、組織内でのみ1AMコンソールにアクセスすることを望んでいます。どうすればこれを達成できますか？
選んでください：

• A. セキュリティグループで1AMポリシーを作成し、AWSコンソールログインにそのセキュリティグループを使用します
• B. VPCを使用して1AMポリシーを作成し、組織とAWSコンソール間の安全なゲートウェイを許可します
• C. IPアドレス範囲が組織のものでない場合にアクセスを拒否する条件で1AMポリシーを作成します
• D. 組織のIP範囲からのトラフィックのみを許可するEC2インスタンスセキュリティグループを構成します

正解: C

解説:
Explanation
You can actually use a Deny condition which will not allow the person to log in from outside. The below example shows the Deny condition to ensure that any address specified in the source address is not allowed to access the resources in aws.
Option A is invalid because you don't mention the security group in the 1AM policy Option C is invalid because security groups by default don't allow traffic Option D is invalid because the 1AM policy does not have such an option For more information on 1AM policy conditions, please visit the URL:
http://docs.aws.amazon.com/IAM/latest/UserGuide/access
pol
examples.htm l#iam-policy-example-ec2-two-condition!
The correct answer is: Create an 1AM policy with a condition which denies access when the IP address range is not from the organization Submit your Feedback/Queries to our Experts

 

質問 193
会社は、複数のAmazon EC2インスタンスでホストされる非常に復元力のあるアプリケーションを開発しています。アプリケーションは、Amazon RDSテーブルに非常に機密性の高いユーザーデータを保存します
*アプリケーション障害復旧計画に別のAWSリージョンへの移行を含めます。
*暗号化キー管理イベントの完全な監査証跡を提供する
*会社の管理者のみがキーを管理できるようにします。
*アプリケーション層の暗号化を使用して保存データを保護する
セキュリティエンジニアが暗号化キー管理のオプションを評価しているセキュリティエンジニアがこの状況で暗号化キー管理にAWS KMSよりもAWS CloudHSMを選択する理由は何ですか？

• A. CloudHSMによって生成される主要な管理イベントロギングは、AWS KMSよりもはるかに広範囲です。
• B. CloudHSMは、会社のサポートスタッフのみが暗号化キーを管理できるようにしますが、AWS KMSはAWSスタッフがキーを管理できるようにします
• C. CloudHSMによって生成された暗号文は、AWS KMSによって生成された暗号文よりも、ブルートフォース復号化攻撃に対してより堅牢な保護を提供します
• D. CloudHSMはキーを別のリージョンにコピーする機能を提供しますが、AWS KMSは提供しません

正解: B

 

質問 194
会社には、AWS VPCでホストされるEC2インスタンスがあります。 EC2インスタンスからのログファイルがそれに応じて保存されることを保証する要件があります。また、ログファイルの宛先のアクセスを制限する必要があります。どうすればこれを達成できますか？以下のオプションから2つの回答を選択してください。各回答はソリューションの一部を形成します。選択してください。

• A. Cloudwatch Logグループへの望ましいアクセスレベルを与える1AMポリシーを作成します
• B. ログファイルを個別のCloudtrailトレイルにストリーミングします
• C. Cloudtrailトレイルへのアクセスの望ましいレベルを与える1AMポリシーを作成します
• D. ログファイルを個別のCloudwatch Logグループにストリーミングします

正解: A,D

解説:
説明
ロググループを作成し、EC2インスタンスからそのグループにすべてのログを送信できます。その後、1AMポリシーを介してロググループへのアクセスを制限できます。
CloudtrailがAPIアクティビティの記録に使用され、ログファイルの保存には使用されないため、オプションAは無効です。Cloudtrailはこの要件に使用される間違ったサービスであるため、オプションCは無効です。ロググループとログストリームの詳細については、次のURLにアクセスしてください：
* https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/Workinj
Cloudwatchログへのアクセスの詳細については、次のURLにアクセスしてください。
* https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/auth-and-access-control-cwl.html正しい答えは次のとおりです。ログファイルを個別のCloudwatch Logグループにストリーミングします。 Cloudwatch Logグループへの望ましいアクセスレベルを提供する1AMポリシーを作成します。フィードバック/クエリをエキスパートに送信します

 

質問 195
......

SCS-C01日本語正真正銘のベスト資料、オンライン練習試験：https://www.goshiken.com/Amazon/AWS-Security-Specialty-JPN-mondaishu.html