모의고사 1

IAM Access Analyzer는 정책에서 의도치 않은 액세스 경로나 외부 액세스를 찾아줍니다. 사용자별 암호 변경일과 액세스 키 나이를 CSV로 생성하지 않습니다. 주의: Analyzer라는 이름은 감사와 관련 있어 보이지만, 필요한 증거는 모든 IAM 사용자의 자격 증명 메타데이터입니다.

AWS Artifact는 AWS의 규정 준수 보고서와 계약서를 제공합니다. 연구소의 IAM 사용자, 암호 날짜, 활성 액세스 키를 보고하지 않습니다. 주의: Artifact는 규정 준수와 관련 있지만, 내 계정의 자격 증명 인벤토리가 아니라 AWS 문서에 관한 서비스입니다.

AWS Audit Manager는 더 넓은 규정 준수 프레임워크의 증거 수집을 돕지만, IAM 사용자 암호와 액세스 키 세부 정보를 내보내는 직접적인 도구는 아닙니다. 주의: 감사자가 등장하므로 Audit Manager가 가까워 보이지만, 문제는 특정 IAM CSV를 요구합니다.

AWS IAM Access Analyzer는 권한과 리소스 정책을 분석해 의도치 않은 액세스를 식별하는 데 도움이 됩니다. CSV 또는 JSON 객체 내용에서 이름이나 신용카드 번호를 검사하지는 않습니다. 주의: 보안 관련 서비스이고 S3 액세스를 분석할 수 있지만, 시나리오는 콘텐츠 분류를 요구합니다.

Amazon GuardDuty는 의심스러운 활동과 악성 동작을 탐지하는 위협 탐지 서비스입니다. 조사 결과를 만들 수는 있지만, S3 객체 내용을 스캔해 민감한 데이터 조사 결과를 생성하는 서비스는 아닙니다. 주의: 조사 결과라는 표현 때문에 GuardDuty가 떠오를 수 있지만, 핵심 단서는 객체 내부의 PII 및 PCI 검색입니다.

Amazon Inspector는 EC2 인스턴스, 컨테이너 이미지, Lambda 함수 같은 리소스의 취약성 관리를 중점적으로 다룹니다. S3 데이터 분류 서비스가 아닙니다. 주의: Inspector라는 이름은 무언가를 검사하는 것처럼 들리지만, S3 파일 내용이 아니라 워크로드 취약성을 검사합니다.

AWS Encryption SDK는 애플리케이션의 클라이언트 측 암호화를 돕지만, 관리형 보안 암호 저장소, ECS 런타임 조회, 보안 암호별 IAM 권한, 자동 교체를 제공하지 않습니다. 주의: KMS 암호화 단서 때문에 암호화 도구가 끌릴 수 있지만, 이 시나리오는 보안 암호 수명 주기 관리를 묻고 있습니다.

AWS Security Hub는 보안 결과를 집계하고 우선순위를 지정합니다. ECS 태스크가 가져올 API 키나 데이터베이스 암호를 저장하지 않습니다. 주의: 보안 서비스이기는 하지만, 애플리케이션 자격 증명 저장이 아니라 보안 상태와 결과 관리용입니다.

AWS Artifact는 AWS 규정 준수 보고서와 계약에 접근하는 서비스입니다. 런타임 보안 암호 저장 또는 교체 서비스가 아닙니다. 주의: 규정 준수 문구가 있으면 Artifact가 떠오를 수 있지만, 여기에는 감사 보고서나 계약 요구사항이 없습니다.

Network ACL은 서브넷 경계에서 트래픽을 필터링하고 CIDR 기반 규칙을 사용합니다. 특정 애플리케이션 인스턴스나 애플리케이션 보안 그룹을 직접 참조할 수 없습니다. 주의: NACL은 VPC 네트워크 보안처럼 들리지만, 문제는 서브넷 변경 없이 특정 앱 계층 인스턴스를 지정하라고 합니다.

AWS WAF는 CloudFront나 Application Load Balancer 같은 서비스의 HTTP 및 HTTPS 웹 요청을 보호합니다. EC2 인스턴스 사이의 프라이빗 PostgreSQL 스타일 TCP 트래픽을 제어하지 않습니다. 주의: WAF는 보안 서비스이지만 TCP 5432는 웹 요청 검사 사용 사례가 아닙니다.

Amazon GuardDuty는 위협을 탐지하고 결과를 생성합니다. 데이터베이스 계층으로 가는 트래픽을 허용하거나 차단하는 인라인 방화벽이 아닙니다. 주의: 위협 탐지는 의심스러운 트래픽을 보고할 수 있지만, 이 접근 규칙을 강제하지는 않습니다.

Amazon FSx for Lustre는 HPC나 미디어 처리 같은 워크로드를 위한 고성능 파일 시스템이며, 드물게 접근하는 영상을 수년 동안 보관하는 최저 비용 저장 위치가 아닙니다. 주의: 영상 파일은 파일 시스템 문제처럼 보일 수 있지만, 이 시나리오는 활성 렌더링이나 분석이 아니라 아카이브 보관입니다.

Amazon EBS는 EC2 인스턴스용 블록 스토리지이며, 연결된 활성 워크로드에 맞춰 가격이 책정됩니다. 다년간의 아카이브 스토리지에는 적합하지 않습니다. 주의: EBS는 대용량을 저장할 수 있지만, 거의 검색하지 않는 객체의 법적 아카이브에는 비용 효율적이지 않습니다.

Amazon EFS는 파일 의미 체계와 지속적인 접근이 필요한 애플리케이션을 위한 공유 파일 스토리지입니다. 드물게 접근하는 아카이브에는 가장 저렴한 선택이 아닙니다. 주의: 공유 파일 스토리지가 영상에 자연스럽게 느껴질 수 있지만, 접근 패턴은 장기 보관과 매우 드문 복원입니다.

Amazon DynamoDB는 모델링된 액세스 패턴에 매우 낮은 지연 시간을 제공할 수 있는 키-값 및 문서 데이터베이스입니다. 하지만 여러 엔터티를 깊게 탐색하려면 일반적으로 추가 애플리케이션 로직이나 여러 조회가 필요합니다. 주의: DynamoDB는 대규모에서 빠르기 때문에 매력적으로 보일 수 있지만, 핵심 단서는 관계 전반의 그래프 쿼리입니다.

Amazon Timestream은 지표와 이벤트 같은 시계열 데이터에 맞게 설계되었습니다. 허가증, 차량, 주소, 결제 관계를 탐색하는 목적별 서비스가 아닙니다. 주의: 실시간 시스템은 타임스탬프가 있는 이벤트를 생성할 수 있지만, 문제는 시계열 분석이 아니라 그래프 관계 쿼리를 묻고 있습니다.

Amazon Forecast는 과거 시계열 데이터로 예측을 생성합니다. 낮은 지연 시간의 악용 탐지를 위해 그래프 관계를 저장하거나 쿼리하지 않습니다. 주의: Forecast는 분석에 유용해 보일 수 있지만, 예측은 실시간 그래프 탐색과 다릅니다.

Amazon VPC는 격리된 네트워킹 환경을 생성합니다. 직원 SSO, 회사 디렉터리 통합, 교차 계정 권한을 제공하지 않습니다. 주의: VPC는 AWS 계정의 기본 요소이지만, 이 시나리오는 ID와 권한 부여에 관한 것입니다.

Amazon GuardDuty는 로그와 결과를 기반으로 위협을 탐지합니다. 직원을 인증하거나 계정별 권한을 할당하지 않습니다. 주의: 보안 서비스이긴 하지만 액세스 관리가 아니라 탐지용 서비스입니다.

Amazon Cognito는 애플리케이션 사용자의 가입과 로그인을 관리합니다. Organizations의 여러 AWS 계정에 대한 인력 액세스의 표준 서비스가 아닙니다. 주의: Cognito도 사용자를 페더레이션할 수 있지만, 시험에서는 고객 앱 ID와 직원의 AWS 계정 액세스를 구분합니다.

Amazon Cognito는 사용자 가입, 로그인, 페더레이션, 앱 ID를 관리합니다. EC2 또는 RDS 구성 변경을 기록하거나 규정 준수 기록을 생성하지 않습니다. 주의: 보안 서비스이기는 하지만 이 시나리오는 애플리케이션 인증이 아니라 인프라 감사 증거에 관한 것입니다.

Amazon FSx는 관리형 파일 시스템을 제공합니다. 파일을 저장할 수는 있지만 AWS 리소스의 구성 타임라인이나 규정 준수 보고서를 생성하지 않습니다. 주의: 보관이라는 표현 때문에 스토리지를 떠올릴 수 있지만, 빠진 기능은 자동 구성 기록과 규정 준수 평가입니다.

Amazon Inspector는 EC2, 컨테이너 이미지, Lambda 같은 워크로드의 취약성 관리를 수행합니다. 구성 변경 기록이나 규정 준수 스냅샷의 기준 소스는 아닙니다. 주의: Inspector는 보안 태세를 개선하므로 감사와 관련 있어 보일 수 있지만, 문제는 구성 기록과 보고서를 요구하므로 AWS Config가 맞습니다.

AWS는 VPC 네트워크 ACL과 Security group 기능을 제공하지만, 애플리케이션 접근 요구에 맞게 규칙을 구성하는 것은 고객 책임입니다. 주의: 제어 기능은 AWS 서비스이지만, 이를 올바르게 사용하는 책임은 고객에게 있습니다.

모바일 또는 데스크톱 디바이스의 클라이언트 측 암호화는 고객이 제어하는 애플리케이션과 엔드포인트에서 구현되며, AWS가 기본으로 수행하지 않습니다. 주의: AWS는 암호화 서비스를 제공하지만, 이 단서는 암호화가 클라이언트 디바이스에서 일어난다고 말합니다.

IAM ID 생성, 권한 할당, MFA 적용은 고객의 ID 관리 작업입니다. 주의: AWS는 IAM 서비스를 운영하지만 사용자, 그룹, 정책 및 인증 요구 사항은 고객이 정의합니다.