2.3 - Conformité et gouvernance AWS
L'objectif 2.3 de l'AWS Certified Cloud Practitioner couvre la conformité et la gouvernance dans AWS. AWS Artifact fournit un accès à la demande aux rapports de conformité AWS comme les certifications SOC et ISO, pour que les auditeurs téléchargent les preuves nécessaires. Pour savoir quelles tâches de sécurité relèvent d'AWS ou du client pour un service précis, on consulte la documentation du modèle de responsabilité partagée AWS. Pour la détection continue des menaces, Amazon GuardDuty analyse les événements CloudTrail, les VPC Flow Logs et les journaux DNS pour repérer une activité suspecte comme des appels d'API inhabituels ou des communications avec des hôtes malveillants connus. La gouvernance implique aussi la structure des comptes, Organizations et la journalisation. Attends-toi à des mises en situation demandant le bon service ou la bonne ressource - AWS Artifact, la doc de responsabilité partagée ou GuardDuty.
Télécharger les rapports SOC/ISO = AWS Artifact. Qui fait quoi pour un service = doc du modèle de responsabilité partagée. Détecter les menaces en continu depuis CloudTrail/VPC/DNS = Amazon GuardDuty.
Questions d'entraînement
1. Quel service AWS donne accès à la demande aux rapports de conformité AWS tels que SOC et PCI DSS ?
- AWS Trusted Advisor
- AWS Artifact (bonne réponse)
- Amazon Inspector
- AWS Config
AWS Artifact est le portail en libre-service des documents de conformité AWS (SOC, PCI DSS, ISO, etc.). Trusted Advisor fournit des vérifications de bonnes pratiques ; Inspector recherche des vulnérabilités.
2. Où trouver quelles tâches de sécurité relèvent d'AWS ou du client pour un service donné ?
- Uniquement en contactant le service commercial
- Dans la documentation du modèle de responsabilité partagée AWS (bonne réponse)
- Dans les métadonnées de l'instance EC2
- Dans la facture mensuelle
Le modèle de responsabilité partagée, documenté par AWS, définit la répartition ; elle varie selon le type de service (IaaS vs géré/PaaS vs SaaS).
3. Quel service AWS fournit un accès à la demande aux rapports de sécurité et de conformité tels que les documents SOC et PCI DSS ?
- AWS Trusted Advisor
- AWS Artifact (bonne réponse)
- Amazon Inspector
- AWS Config
AWS Artifact est le portail pour télécharger les rapports de conformité et accords d'AWS. Trusted Advisor vérifie les bonnes pratiques, Inspector analyse les charges, et Config suit la configuration.
4. Quel service analyse en continu CloudTrail, les journaux de flux VPC et les journaux DNS pour détecter des menaces grâce à l'apprentissage automatique ?
- AWS WAF
- AWS Shield
- Amazon GuardDuty (bonne réponse)
- AWS KMS
Amazon GuardDuty est un service géré de détection de menaces qui analyse ces sources de journaux. WAF filtre le trafic web, Shield protège contre les DDoS et KMS gère les clés.
5. Quel service aide à protéger les applications web contre des attaques courantes comme l'injection SQL et le cross-site scripting en filtrant les requêtes HTTP/HTTPS ?
- Amazon Macie
- Amazon Inspector
- AWS WAF (bonne réponse)
- AWS Secrets Manager
AWS WAF (pare-feu d'application web) filtre et bloque les requêtes web malveillantes. Macie protège la confidentialité des données, Inspector recherche les vulnérabilités et Secrets Manager stocke les secrets.
6. Quel principe consiste à n'accorder que les permissions nécessaires à une tâche, et rien de plus ?
- Défense en profondeur
- Moindre privilège (bonne réponse)
- Responsabilité partagée
- Haute disponibilité
Le moindre privilège consiste à donner à chaque identité uniquement les permissions dont elle a besoin. La défense en profondeur superpose plusieurs contrôles de sécurité ; les deux sont de bonnes pratiques, mais la définition ici est le moindre privilège.