[AWS Secyrity Specialty] 문제풀이-3

문제21

질문	조직에는 많은 수의 원격 작업자가 데이터 파일을 제출할 수 있는 시스템이 AWS에 있습니다. 파일 크기는 몇 킬로바이트에서 몇 메가바이트까지 다양합니다. 최근 감사에서는 데이터 파일이 신뢰할 수 없는 네트워크를 통해 전송되는 동안 암호화되지 않는다는 우려가 강조되었습니다. 필요한 노력을 최소화하면서 감사 결과를 수정하는 솔루션은 무엇입니까?
보기	A. IAM에 SSL 인증서를 업로드하고 개인 키의 암호로 Amazon CloudFront를 구성합니다. B. 클라이언트에서 KMS.Encrypt()를 호출하여 데이터 파일 내용을 전달하고 서버 측에서 KMS.Decrypt()를 호출합니다. C. AWS Certificate Manager를 사용하여 웹 서비스 서버 앞에 있는 Elastic Load Balancing에 인증서를 프로비저닝합니다. D. Amazon VPC VPN 엔드포인트로 새 VPC를 생성하고 웹 서비스의 DNS 레코드를 업데이트합니다.
정답	C
풀이	A. IAM에 SSL 인증서를 업로드하고 개인 키의 암호로 Amazon CloudFront를 구성하는 것은 데이터 파일을 암호화하는 것이 아니라 데이터 전송 경로를 암호화하는 것입니다. 따라서 데이터 파일이 전송 중에 보호되지 않습니다. B. KMS.Encrypt()와 KMS.Decrypt()를 사용하여 데이터를 암호화하고 복호화하는 것은 데이터의 보안을 유지하는 데 도움이 되지만, 데이터 파일을 제출하는 시스템에서 이러한 작업을 수행하는 데 필요한 노력이 많이 들어갑니다. C. AWS Certificate Manager를 사용하여 Elastic Load Balancing에 인증서를 프로비저닝하면 데이터 파일을 전송하는 동안 SSL/TLS 암호화를 사용할 수 있으므로 데이터 파일이 전송 중에 보호됩니다. D. VPC VPN 엔드포인트를 사용하여 새 VPC를 생성하고 DNS 레코드를 업데이트하여 데이터 파일을 전송하는 동안 VPN을 사용할 수 있습니다. 그러나 VPN 구성 및 관리에 필요한 노력이 많이 들어갑니다.

 

문제22

질문	AWS Key Management Service(KMS)를 사용하기 위한 옵션 중 향후 키 손상 가능성에 의해 노출될 수 있는 데이터 범위를 최소화하는 데 초점을 맞춘 키 관리 모범 사례를 지원하는 것은 무엇입니까?
보기	A. KMS 자동 키 순환을 사용하여 마스터 키를 교체하고 이전에 암호화된 데이터를 다시 암호화하지 않고 향후 암호화 작업에 이 새 마스터 키를 사용합니다. B. 새 고객 마스터 키(CMK)를 생성하고 새 CMK로 모든 기존 데이터를 다시 암호화하고 향후 모든 암호화 작업에 사용합니다. C. 90일마다 CMK 별칭을 변경하고 새 키 별칭으로 키 호출 애플리케이션을 업데이트합니다. D. 키를 프로비저닝할 수 있는 개인이 키를 사용할 수 있는 개인과 동일하지 않도록 CMK 권한을 변경합니다.
정답	A
풀이	A. KMS 자동 키 순환을 사용하여 마스터 키를 교체하고 이전에 암호화된 데이터를 다시 암호화하지 않고 향후 암호화 작업에 이 새 마스터 키를 사용합니다. - 이 옵션은 마스터 키의 비밀 유지 및 안전한 로테이션을 보장하면서도 암호화된 데이터에 대한 접근성을 제공합니다. KMS 자동 키 순환은 마스터 키를 안전하게 교체하고 이전에 암호화된 데이터에 대한 접근성을 제공합니다. B. 새 고객 마스터 키(CMK)를 생성하고 새 CMK로 모든 기존 데이터를 다시 암호화하고 향후 모든 암호화 작업에 사용합니다. - 이 옵션은 모든 기존 데이터를 재암호화하는 데 필요한 많은 노력과 비용이 들어갑니다. 또한, 데이터에 대한 액세스 권한을 잃을 수도 있습니다. C. 90일마다 CMK 별칭을 변경하고 새 키 별칭으로 키 호출 애플리케이션을 업데이트합니다. - 이 옵션은 CMK 별칭을 변경하고 키 호출 애플리케이션을 업데이트하는 데 많은 노력이 들어갑니다. 또한, 이것은 CMK 자체를 보호하지 않으며 공격자가 CMK에 액세스하는 것을 막지 않습니다. D. 키를 프로비저닝할 수 있는 개인이 키를 사용할 수 있는 개인과 동일하지 않도록 CMK 권한을 변경합니다. - 이 옵션은 키에 대한 액세스 권한을 제한할 수는 있지만, 마스터 키 자체를 보호하지 않습니다. 따라서, 키 자체가 손상될 수 있으며, 이것은 암호화된 데이터에 악영향을 미칩니다.

 

문제23

질문	보안 엔지니어는 특정 계정에서 Amazon EC2, Amazon S3, Amazon RDS, Amazon DynamoDB 및 AWS STS만 사용하도록 강제해야 합니다. 이 요구 사항을 충족하기 위한 확장 가능하고 효율적인 접근 방식은 무엇입니까?
보기	A. AWS Organizations 계층 구조를 설정하고 FullAWSAccess 정책을 관리되는 조직 단위에 대한 다음 서비스 제어 정책으로 바꿉니다. { "version":"2012-10-17", "statement":[ { "action": [ "dynamodb:*", "rds:*", "ec2:*", "s3:*", "sts:*" ], "Effect": "Allodw", "Resource": "*" } ] }   B. 규제된 계정에 대해 여러 IAM 사용자를 생성하고 필요에 따라 서비스를 제한하려면 다음 정책 설명을 첨부합니다. { "version":"2012-10-17", "statement":[ { "action": *, "Effect": "Allodw", "Resource": "*" } { "NotAction": [ "dynamodb:*", "rds:*", "ec2:*", "s3:*", "sts:*" ], "Effect": "Deny", "Resource": "*" } ] }   C. 조직 계층을 설정하고 전역 FullAWSAccess를 최상위 수준에서 다음 서비스 제어 정책으로 바꿉니다. { "version":"2012-10-17", "statement":[ { "action": [ "dynamodb:*", "rds:*", "ec2:*", "s3:*", "sts:*" ], "Effect": "Allodw", "Resource": "*" } ] }   D. 회사의 모든 계정에 대한 통합 액세스를 위해 Active Directory의 모든 사용자를 설정합니다. Active Directory 그룹을 IAM 그룹과 연결하고 다음 정책 설명을 연결하여 필요에 따라 서비스를 제한합니다. { "version":"2012-10-17", "statement":[ { "action": *, "Effect": "Allodw", "Resource": "*" } { "NotAction": [ "dynamodb:*", "rds:*", "ec2:*", "s3:*", "sts:*" ], "Effect": "Deny", "Resource": "*" } ] }
정답	A
풀이	A. AWS Organizations을 사용하여 계정 단위 또는 조직 단위에서 서비스 제어 정책을 구성하는 것입니다. FullAWSAccess 정책을 제한된 정책으로 변경하고, 허용된 서비스만을 포함하도록 해당 서비스 제어 정책을 수정합니다. 이러한 방식으로 조직 내에서 원하는 서비스만을 사용할 수 있도록 제한할 수 있습니다. B. 규제된 계정에 대해 여러 IAM 사용자를 생성하고, 서비스를 제한하는 방식입니다. 이 방법은 규제된 사용자의 수가 적을 때만 효율적이며, 수많은 사용자를 관리하는 경우 복잡성이 증가할 수 있습니다. C. AWS Organizations를 사용하여 계정 단위 또는 조직 단위에서 서비스 제어 정책을 구성하는 방식으로, 선택지 A와 유사하지만, 모든 계정에 대해 전역 FullAWSAccess 정책을 사용하는 것이 다릅니다. 이 방법은 서비스 제어 정책이 간소화되지만 모든 계정에 대한 권한이 부여될 가능성이 있습니다. D. Active Directory를 사용하여 IAM 그룹과 연결된 사용자와 권한을 관리하는 방식입니다. 이 방법은 AWS와 Active Directory 간의 통합 및 관리가 필요하며, 복잡성이 증가할 수 있습니다. 또한 규제된 계정에 대해 적합하지 않습니다.

 

문제24

질문	회사의 데이터베이스 개발자가 AWS Secrets Manager에서 저장하고 관리할 Amazon RDS 데이터베이스 자격 증명을 방금 마이그레이션했습니다. 또한 개발자는 Secrets Manager 콘솔 내에서 자격 증명 교체를 활성화하고 교체가 30일마다 변경되도록 설정했습니다. 짧은 시간이 지난 후 여러 기존 응용 프로그램이 인증 오류로 인해 실패했습니다. 인증 오류의 가장 가능성 있는 원인은 무엇입니까?
보기	A. 자격 증명을 RDS로 마이그레이션하려면 모든 액세스가 Secrets Manager에 대한 요청을 통해 이루어져야 합니다. B. Secrets Manager에서 교체를 활성화하면 암호가 즉시 교체되고 애플리케이션은 이전 자격 증명을 사용합니다. C. Secrets Manager IAM 정책은 RDS 데이터베이스에 대한 액세스를 허용하지 않습니다. D. Secrets Manager IAM 정책은 애플리케이션에 대한 액세스를 허용하지 않습니다.
정답	B
풀이	A. RDS 데이터베이스 자격 증명을 Secrets Manager에 마이그레이션하면 모든 액세스가 Secrets Manager에 대한 요청을 통해 이루어질 필요가 없습니다. Secrets Manager는 RDS 인스턴스와 함께 사용할 수 있는 AWS SDK 및 CLI에 내장된 클라이언트를 사용하여 데이터베이스 자격 증명을 검색합니다. B. AWS Secrets Manager에서 자격 증명 교체를 활성화하면 자격 증명이 변경되면 즉시 새 자격 증명이 생성되고, 이전 자격 증명이 사용되고 있던 응용 프로그램에서는 새 자격 증명을 사용하도록 업데이트해야 합니다. C. AWS Secrets Manager의 IAM 정책은 Secrets Manager 자체에 대한 액세스를 제어하며, RDS 데이터베이스 자격 증명에 대한 액세스는 RDS 자체의 IAM 정책에서 제어됩니다. D. AWS Secrets Manager의 IAM 정책은 Secrets Manager 자체에 대한 액세스를 제어하며, 애플리케이션에 대한 액세스는 다른 AWS 서비스에서 정의된 IAM 정책에서 제어됩니다.

 

문제25

질문	보안 엔지니어는 동일한 Amazon VPC이지만 별도의 가용 영역에서 두 개의 Amazon EC2 인스턴스를 시작합니다. 각 인스턴스에는 퍼블릭 IP 주소가 있으며 인터넷의 외부 호스트에 연결할 수 있습니다. 두 인스턴스는 사설 IP 주소를 사용하여 서로 통신할 수 있지만 공용 IP 주소를 사용하면 서로 통신할 수 없습니다. 공용 IP 주소를 통한 통신을 허용하려면 보안 엔지니어가 어떤 조치를 취해야 합니까?
보기	A. 인스턴스를 동일한 보안 그룹에 연결합니다. B. 인스턴스 보안 그룹의 송신 규칙에 0.0.0.0/0을 추가합니다. C. 인스턴스 보안 그룹의 수신 규칙에 인스턴스 ID를 추가합니다. D. 인스턴스 보안 그룹의 수신 규칙에 퍼블릭 IP 주소를 추가합니다.
정답	D
풀이	A. 인스턴스를 동일한 보안 그룹에 연결하는 것으로, 이 조치는 인스턴스 간의 통신과는 관련이 없습니다.   B. 인스턴스 보안 그룹의 송신 규칙에 0.0.0.0/0을 추가하는 것으로, 이 조치는 인스턴스가 외부로 나가는 트래픽을 제어하는 것이지 인스턴스 간의 통신과는 관련이 없습니다.   C. 인스턴스 보안 그룹의 수신 규칙에 인스턴스 ID를 추가하는 것으로, 이 조치는 동일한 보안 그룹 내의 인스턴스 간에만 통신이 가능하도록 제한하는 것입니다.   D. 인스턴스 보안 그룹의 수신 규칙에 퍼블릭 IP 주소를 추가하여 인터넷을 통해 인스턴스 간의 통신을 허용할 수 있습니다.

 

문제26

질문	보안 엔지니어는 매우 민감한 개인 정보를 처리하는 웹 애플리케이션을 관리하고 있습니다. 애플리케이션은 Amazon EC2에서 실행됩니다. 애플리케이션에는 애플리케이션으로 들어오는 모든 트래픽이 일반적인 웹 익스플로잇으로부터 보호되고 EC2 인스턴스에서 나가는 모든 트래픽이 화이트리스트에 있는 특정 URL로 제한된다는 엄격한 규정 준수 요구 사항이 있습니다. 보안 엔지니어는 이러한 요구 사항을 충족하기 위해 어떤 아키텍처를 사용해야 합니까?
보기	A. AWS Shield를 사용하여 웹 악용에 대한 인바운드 트래픽을 검사하십시오. VPC 흐름 로그 및 AWS Lambda를 사용하여 송신 트래픽을 화이트리스트에 있는 특정 URL로 제한합니다.   B. AWS Shield를 사용하여 웹 악용에 대한 인바운드 트래픽을 검사합니다. 타사 AWS Marketplace 솔루션을 사용하여 송신 트래픽을 화이트리스트에 있는 특정 URL로 제한합니다.   C. AWS WAF를 사용하여 웹 익스플로잇에 대한 인바운드 트래픽을 스캔합니다. VPC 흐름 로그 및 AWS Lambda를 사용하여 송신 트래픽을 화이트리스트에 있는 특정 URL로 제한합니다.   D. AWS WAF를 사용하여 웹 익스플로잇에 대한 인바운드 트래픽을 스캔합니다. 타사 AWS Marketplace 솔루션을 사용하여 송신 트래픽을 화이트리스트에 있는 특정 URL로 제한합니다.
정답	D
풀이	A. AWS Shield는 웹 악용에 대한 인바운드 트래픽을 검사하는 서비스이지만, 송신 트래픽을 제한하는 기능은 제공하지 않습니다. VPC 흐름 로그와 AWS Lambda를 사용하여 송신 트래픽을 화이트리스트에 있는 특정 URL로 제한하는 것은 가능하지만, 이러한 복잡한 아키텍처는 규정 준수 요구 사항을 충족하기에는 너무 복잡합니다. B. AWS Shield는 웹 악용에 대한 인바운드 트래픽을 검사하는 서비스이지만, 송신 트래픽을 제한하는 기능은 제공하지 않습니다. 타사 AWS Marketplace 솔루션을 사용하여 송신 트래픽을 화이트리스트에 있는 특정 URL로 제한하는 것은 가능하지만, 이러한 복잡한 아키텍처는 규정 준수 요구 사항을 충족하기에는 너무 복잡합니다. C. AWS WAF는 웹 익스플로잇에 대한 인바운드 트래픽을 스캔하는 서비스이지만, 송신 트래픽을 제한하는 기능은 제공하지 않습니다. VPC 흐름 로그와 AWS Lambda를 사용하여 송신 트래픽을 화이트리스트에 있는 특정 URL로 제한하는 것은 가능하지만, 이러한 복잡한 아키텍처는 규정 준수 요구 사항을 충족하기에는 너무 복잡합니다. D. AWS WAF는 웹 익스플로잇에 대한 인바운드 트래픽을 스캔하는 서비스이며, 타사 AWS Marketplace 솔루션을 사용하여 송신 트래픽을 화이트리스트에 있는 특정 URL로 제한할 수 있습니다. 이를 통해 규정 준수 요구 사항을 충족시킬 수 있습니다. 따라서, D가 올바른 답입니다.

 

문제27

질문	한 회사는 최근 웹 서버가 콘텐츠를 제공하지 못하게 하는 DDoS 공격을 경험했습니다. 웹 사이트는 정적이며 사용자가 다운로드하는 HTML, CSS 및 PDF 파일만 호스팅합니다. 이미지에 표시된 아키텍처를 기반으로 지속적인 운영 오버헤드를 최소화하면서 향후 공격으로부터 사이트를 보호하는 가장 좋은 방법은 무엇입니까?
보기	A. 모든 파일을 Amazon S3 버킷으로 이동합니다. 웹 서버가 S3 버킷의 파일을 제공하도록 합니다. B. 새 서브넷에서 두 번째 Amazon EC2 인스턴스를 시작합니다. 두 인스턴스 앞에서 Application Load Balancer를 시작합니다. C. EC2 인스턴스 앞에서 Application Load Balancer를 시작합니다. Application Load Balancer 앞에 Amazon CloudFront 배포를 생성합니다. D. 모든 파일을 S3 버킷으로 이동합니다. 버킷 앞에 CloudFront 배포를 생성하고 웹 서버를 종료합니다.
정답	A
풀이	A. Amazon S3는 정적 파일을 호스팅하고 전 세계적으로 배포되는 콘텐츠를 지원하는 클라우드 기반 스토리지 서비스입니다. Amazon S3를 사용하면 정적 파일을 보호하고, 무한한 확장성과 고 가용성을 갖춘 전 세계적으로 배포된 저장소를 제공합니다. 또한 S3를 통해 정적 파일을 제공하면 웹 서버에서 정적 파일을 제공하는 것보다 지속적인 운영 오버헤드를 최소화할 수 있습니다.   B. 두 개의 EC2 인스턴스를 시작하고 Application Load Balancer를 구성하는 방법을 제안합니다. 그러나 이 방법은 고정 IP 주소를 사용하는 DDoS 공격과 같은 분산형 공격에 대한 보호를 제공하지 않습니다.   C. EC2 인스턴스 앞에 Application Load Balancer를 시작하고, Application Load Balancer 앞에 Amazon CloudFront 배포를 생성하는 방법을 제안합니다. 이 방법은 S3를 사용하지 않고, 추가적인 네트워크 계층을 제공하지만, 추가적인 비용이 발생하며 복잡성도 증가합니다.   D. S3 버킷으로 모든 파일을 이동하고, 버킷 앞에 CloudFront 배포를 생성하는 방법을 제안합니다. 이 방법은 선택지 A와 유사하며, S3와 CloudFront를 사용하는 방법은 안정적이고 확장 가능합니다. 그러나 CloudFront는 웹 사이트 보호를 위한 전문적인 DDoS 방어 기능을 제공하지 않으므로 선택지 A보다 적합하지 않습니다.

문제28

질문	정보 기술 부서는 비용 절감을 위해 Classic Load Balancer 사용을 중단하고 Application Load Balancer로 전환했습니다. 전환 후 이전 장치의 일부 사용자는 더 이상 웹 사이트에 연결할 수 없습니다. 이 상황의 원인은 무엇입니까?
보기	A. Application Load Balancer는 이전 웹 브라우저를 지원하지 않습니다. B. Perfect Forward Secrecy 설정이 올바르게 구성되지 않았습니다. C. 중간 인증서는 Application Load Balancer 내에 설치됩니다. D. Application Load Balancer의 암호화 제품군이 연결을 차단하고 있습니다.
정답	D
풀이	A. Application Load Balancer가 이전 버전의 웹 브라우저를 지원하지 않는 것은 아닙니다. 따라서 이 문제의 원인이 될 수 없습니다.   B. Perfect Forward Secrecy(PFS)는 SSL 연결의 보안 강화 기능 중 하나입니다. 그러나 Application Load Balancer의 연결 문제를 유발하지 않으므로 이 문제의 원인이 될 수 없습니다.   C. 중간 인증서는 SSL/TLS 연결에 대한 보안을 강화하는 데 사용됩니다. 그러나 이것이 웹 사이트에 연결할 수 없는 문제의 원인이 될 수 없습니다.   D. Application Load Balancer가 암호화를 차단하는 것이 웹 사이트에 연결할 수 없는 문제의 원인이 될 수 있습니다. 이 경우, 올바른 인증서 및 프로토콜 버전을 사용하는지 확인해야 합니다. 또한, 로드 밸런서에 대한 보안 그룹 및 네트워크 ACL 구성도 확인해야 합니다.

 

문제29

질문	보안 팀은 보안 위반에 대해 클라우드 환경에서 AWS API 호출 활동을 검토할 책임이 있습니다. 이러한 이벤트는 현재 및 향후 AWS 리전 모두에 대해 중앙 위치에 기록 및 보관해야 합니다. 이러한 요구 사항을 충족하는 가장 간단한 방법은 무엇입니까?
보기	A. AWS 콘솔에서 AWS Trusted Advisor 보안 검사를 활성화하고 모든 리전의 모든 보안 사고를 보고합니다. B. 각 지역에 대한 개별 추적을 생성하여 AWS CloudTrail을 활성화하고 이후 분석을 위해 로그 파일을 수신할 단일 Amazon S3 버킷을 지정합니다. C. 새 추적을 생성하고 추적을 모든 지역에 적용하여 AWS CloudTrail을 활성화합니다. 단일 Amazon S3 버킷을 스토리지 위치로 지정합니다. D. 모든 지역의 모든 AWS 서비스에 대해 Amazon CloudWatch 로깅을 활성화하고 이후 분석을 위해 단일 Amazon S3 버킷에 집계합니다.
정답	B
풀이	A. Trusted Advisor는 AWS 리소스의 모범 사례 및 권장 사항을 제공하지만, API 호출 활동을 모니터링하는 데 사용할 수는 없습니다. B. AWS CloudTrail은 모든 리전의 API 호출 활동을 기록하고 모니터링할 수 있는 서비스입니다. 각 리전에 대한 별도의 추적을 만들어 분석할 수 있으며, 결과를 단일 Amazon S3 버킷에 저장할 수 있습니다. C. 이것은 B와 유사한 답변이지만, "새로운 추적"을 생성하는 것은 필요하지 않습니다. 한 개의 추적을 만들고, 이를 각 리전에서 활성화하면 됩니다. D. CloudWatch는 리소스 모니터링 및 이벤트 로그 기능을 제공하지만, CloudTrail과 같이 API 호출 활동 모니터링을 위해 설계된 서비스가 아닙니다.

 

문제30

질문	보안 관리자가 의심되는 AWS 계정 손상의 결과로 로그 분석을 수행하고 있습니다. 관리자는 의심스러운 AWS CloudTrail 로그 파일을 분석하고 싶지만 생성되는 감사 로그의 양에 압도당합니다. 관리자가 로그를 가장 효율적으로 검색할 수 있는 방법은 무엇입니까?
보기	A. "쓰기 전용" CloudTrail 이벤트 필터를 구현하여 AWS 계정 리소스에 대한 모든 수정 사항을 감지합니다. B. CloudTrail 감사 로그가 포함된 Amazon S3 버킷에서 민감한 데이터를 분류하고 검색하도록 Amazon Macie를 구성합니다. C. CloudTrail S3 버킷에서 읽고 로그를 쿼리하여 계정 활동을 검사하도록 Amazon Athena를 구성합니다. D. Amazon S3 이벤트 알림을 활성화하여 새로운 CloudTrail API 항목이 있을 때 이메일 경보를 보내는 AWS Lambda 함수를 트리거합니다.
정답	C
풀이	A. "쓰기 전용" CloudTrail 이벤트 필터를 구현하여 AWS 계정 리소스에 대한 모든 수정 사항을 감지하는 것은 좋은 접근 방식입니다. 그러나 이 방법은 다른 유형의 이벤트, 예를 들어 읽기와 관련된 이벤트를 감지하지 못할 수 있습니다.   B. Amazon Macie를 사용하여 CloudTrail 감사 로그를 분류하고 검색하는 것은 가능하지만, Macie가 제공하는 기능과 가격에 따라 이는 비용 효율적이지 않을 수 있습니다.   C. CloudTrail S3 버킷에서 Amazon Athena를 사용하여 로그를 쿼리하는 것은 효율적이며, 기존 로그 분석 방법에 비해 훨씬 빠르고 효과적입니다. Athena는 SQL 쿼리를 사용하여 S3 버킷에 저장된 대규모 데이터 세트를 즉시 검색할 수 있습니다.   D. Amazon S3 이벤트 알림을 사용하여 AWS Lambda 함수를 트리거하여 이메일 경보를 보내는 것은 가능하지만, 이것은 검색 작업에 대한 자동화된 대처 방식이 아니며, 이메일 경보의 수신에 따라 즉시 대처할 수 없을 수 있습니다.