Practice Test #2

오답입니다. CloudWatch Logs Insights는 로그 콘텐츠와 패턴을 쿼리하는 데 가장 적합하지만, 로그 데이터를 스캔하므로 쿼리 비용/지연이 추가될 수 있습니다. 시간당 이벤트 수를 세는 것은 ingestion 바이트(큰 메시지 vs 작은 메시지)를 식별하지 못하며, “이벤트를 수신한 log group 수”는 가장 큰 ingest 소스를 순위화하지 못합니다. 빠른 비용 원인 귀속에는 덜 효율적입니다.

오답입니다. Cost Explorer는 CloudWatch Logs 비용이 증가했음을 확인하고 Usage Type(예: ingestion, storage)별로 분해할 수 있지만, 일반적으로 ingestion을 특정 log group 또는 디바이스 유형에 귀속시키지는 못합니다. 이는 90개 log group 중 어떤 것이 급증의 원인인지 특정하는 운영 도구가 아니라 청구/리포팅 도구입니다.

오답입니다. CloudTrail은 CreateLogStream 및 PutLogEvents 같은 API 호출을 기록하지만, log group/디바이스 유형별 ingest된 바이트를 신뢰성 있게 측정하지 못합니다. API 호출량이 많다고 해서 반드시 ingestion 바이트가 많은 것은 아니며, 이 목적을 위한 CloudTrail 분석은 AWS/Logs IncomingBytes를 사용하는 것에 비해 간접적이고 운영 부담이 큽니다.

오답. Elastic IP를 연결하려면 해당 public IP를 사용하기 위해 internet gateway로 가는 route가 필요하다. 시나리오에는 IGW가 없고 internet egress가 금지되어 있으므로 EIP는 S3에 대한 연결성을 제공하지 못한다. 설령 동작하더라도 부트스트랩 중 internet egress를 허용하게 되어 컴플라이언스 요구 사항을 위반한다.

오답. NAT gateway는 internet gateway로 route가 있는 public subnet이 필요하며, private subnet에서 outbound internet access를 가능하게 한다. 요구 사항은 모든 internet egress를 명시적으로 금지하고 IGW/NAT가 없다고 되어 있다. NAT를 구현하는 것은 제시된 FedRAMP High 통제를 직접 위반한다.

오답. security group은 허용되는 트래픽만 제어할 뿐 네트워크 경로를 제공하지 않는다. IGW 또는 NAT가 없으면 인스턴스는 여전히 public IP 범위에 도달할 수 없다. 또한 public IP 범위로의 egress를 허용하는 것은 여전히 internet egress이며 요구 사항을 위반한다. S3는 이 접근 방식에 적합한 안정적이고 고객별로 고정된 public IP 범위를 제공하지도 않는다.

오답입니다. AWS Config rule은 리소스가 존재한 이후에 평가하는 탐지적(detective) 제어입니다. AWS Systems Manager를 통한 remediation이 있더라도 CloudFormation 작업 중에 비준수 EBS volume 또는 SQS queue가 생성될 수 있고, 이후에야 수정될 수 있습니다. 이는 어떤 stack create/update가 실행되기 전에 정책을 강제해야 한다는 요구사항을 위반합니다. Config는 지속적 컴플라이언스 보고에는 훌륭하지만 사전 프로비저닝 차단에는 적합하지 않습니다.

이 문제의 의도 관점에서 오답입니다. SCP는 API action을 deny할 수 있는 예방적 제어이지만 “CloudFormation 사전 검사”로 평가되는 것은 아니며, 여러 서비스에 걸쳐 특정 KMS key alias를 강제하는 것과 같은 속성 수준 요구사항을 신뢰성 있게 구현하기가 어렵습니다. KMS key alias 사용에 대한 SCP condition은 종종 구현이 까다로워 false positive/negative 또는 운영 장애를 유발할 수 있습니다.

오답입니다. role을 assume하여 stack을 검사하는 Lambda 기반 스캐너는 반응적이며, 리소스가 프로비저닝되기 전에 CloudFormation create/update를 신뢰성 있게 중지할 수 없습니다. 타이밍/race condition, 추가 운영 복잡성, Region/account 전반의 비일관적 강제를 초래합니다. 이 접근은 CloudFormation Hooks 같은 네이티브 예방적 제어에 비해 AWS 모범 사례와도 덜 부합합니다.

이 옵션은 logs를 Amazon S3에 저장하고 Athena 및 QuickSight로 분석하는 방식에 의존하므로 schema management, query development, dashboard maintenance, 장기 log 처리 측면에서 상당한 운영 오버헤드를 발생시킵니다. reporting은 제공할 수 있지만, Amazon Detective와 같은 managed threat investigation 경험은 제공하지 않습니다. 또한 분석가가 여러 datasets 전반의 events를 수동으로 상관 분석해야 하므로 rapid investigation 요구 사항도 가장 잘 충족하지 못합니다. 낮은 오버헤드와 빠른 보안 분석을 강조하는 시험 문제에서는 이것이 가장 강력한 선택지가 아닙니다.

CloudWatch Container Insights는 주로 container 및 cluster 성능 metrics를 위한 observability 서비스이지, managed threat detection 또는 security investigation 서비스가 아닙니다. CloudTrail logs를 S3에 저장하면 Athena로 쿼리하고 QuickSight로 시각화할 수 있지만, 이 역시 raw log 관리 오버헤드를 증가시키고 수동 분석을 요구합니다. 또한 이 옵션에는 EKS audit logs, API calls, network-related telemetry에서 의심스러운 활동을 탐지하는 AWS managed service인 GuardDuty가 없습니다. 따라서 보안 탐지 및 조사 요구 사항을 충분히 충족하지 못합니다.

이 옵션은 GuardDuty, CloudTrail, VPC Flow Logs를 결합하여 탐지 범위를 개선하지만, 여전히 모든 AWS accounts 전반의 단일 요약 뷰와 rapid investigation 요구 사항에는 미치지 못합니다. GuardDuty는 findings를 생성하지만, investigation graph, entity relationships, cross-account summarized analysis experience를 제공하는 서비스는 Amazon Detective입니다. Container Insights를 추가해도 이는 threat analysis가 아니라 운영 telemetry에 초점을 맞추므로 보안 조사 요구 사항을 해결하지 못합니다. 따라서 D는 탐지를 위한 강력한 부분적 솔루션이지만, 탐지와 조사를 모두 위한 최상의 완전한 솔루션은 아닙니다.

오답. AWS KMS에는 키의 경과 기간 또는 마지막 로테이션 이후 시간에 기반해 SNS 알림을 게시하는 기본 기능이 없다. KMS는 CloudTrail로 API 활동을 내보낼 수는 있지만, “키가 120일을 초과함” 또는 “로테이션 기한 초과” 같은 이벤트를 생성하여 직접 구독할 수 있게 하지는 않는다. AWS Config 또는 스케줄된 Lambda 점검 같은 서비스를 사용해 평가 로직을 구현해야 한다.

오답. Trusted Advisor는 수동 로테이션 요구 사항이 있는 customer managed keys에 대해 KMS key 로테이션 최신성을 검증하기 위한 적절한 컨트롤 플레인이 아니다. Trusted Advisor 점검은 제한적이며, 가져온 키 자료 시나리오에 대해 키별로 커스터마이즈 가능한 “120일 이내 마지막 로테이션” 평가를 제공하지 않는다. 또한 EventBridge+Lambda로 Trusted Advisor를 주기적으로 호출하는 방식은 AWS Config에 비해 간접적이며 강력한 컴플라이언스 패턴이 아니다.

오답. AWS Security Hub는 통합된 제품 및 일부 AWS 보안 점검의 findings를 집계하지만, 특히 가져온 키 자료 워크플로에서 customer managed KMS key가 120일 이내에 수동 로테이션되지 않았을 때 알림을 주는 내장형/구성 가능한 컨트롤을 제공하지 않는다. Security Hub는 중앙화된 보안 상태 관리에 더 적합하며, 로테이션 경과 시간 기반의 커스텀 컴플라이언스 로직에는 적합하지 않다.