Simulado DOP-C02: AWS

Explicação: A seguir estão as etapas que a empresa pode executar para alterar o nível de log dinamicamente quando a implantação ocorre: Crie um script que use a variável de ambiente CodeDeploy DEPLOYMENT_GROUP_NAME para identificar de qual grupo de implantação a instância faz parte. Use estas informações para definir as configurações de nível de log. Faça referência a esse script como parte do gancho do ciclo de vida BeforeInstall no arquivo appspec.yml. A variável de ambiente DEPLOYMENT_GROUP_NAME é definida automaticamente pelo CodeDeploy quando a implantação é acionada. Isso significa que o script não precisa chamar o serviço de metadados ou a API do EC2 para identificar o grupo de implantação. Esta solução é a menos complexa e requer menos sobrecarga de gerenciamento. Também não requer versões de script diferentes para cada grupo de implantação. A seguir estão os motivos pelos quais as outras opções não estão corretas: A opção A está incorreta porque exigiria a marcação das instâncias do Amazon EC2, o que seria um processo manual e demorado. A opção C está incorreta porque exigiria a criação de uma variável de ambiente personalizada para cada ambiente. Este seria um processo complexo e sujeito a erros. A opção D está incorreta porque usaria a variável de ambiente DEPLOYMENT_GROUP_ID. No entanto, essa variável não é definida automaticamente pelo CodeDeploy, portanto, o script precisaria chamar o serviço de metadados ou a API do EC2 para obter o ID do grupo de implantação. Isso adicionaria complexidade e sobrecarga à solução.

Explicação: https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/SubscriptionFilters.html

Explicação: https://docs.aws.amazon.com/codedeploy/latest/userguide/deployment-configurations.html

Explicação: Para restringir o acesso ao CloudFront a um intervalo de endereços IP específico: Crie um endereço IP do AWS WAF definido com os IPs do escritório corporativo. Modifique a ação padrão da WebACL existente para Bloquear (negar tudo, exceto permitido explicitamente). Adicione uma regra de alta prioridade que permita o tráfego do conjunto de endereços IP (os IPs corporativos). Dessa forma, somente serão permitidas solicitações dos IPs corporativos; todos os outros estão bloqueados. Os conjuntos de padrões Regex não são necessários para restrições baseadas em IP e adicionam complexidade. Definir a ação padrão como Permitir com exceções é menos seguro e mais complexo de gerenciar. Referências: Exemplos de conjuntos de IP do AWS WAF que restringem o acesso por endereço IP

Explicação: O requisito é detectar e encerrar imediatamente as instâncias EC2 envolvidas na mineração de criptomoedas com o mínimo esforço de desenvolvimento. Amazon GuardDuty é o serviço nativo da AWS projetado especificamente para detectar atividades maliciosas, como mineração de criptografia, analisando continuamente eventos do CloudTrail, logs de fluxo de VPC e logs de DNS. O GuardDuty inclui inteligência gerenciada contra ameaças e descobertas predefinidas, como CryptoCurrency:EC2/BitcoinTool.B!DNS e CryptoCurrency:EC2/BitcoinTool.B!IP, que identificam diretamente o comportamento de mineração sem lógica de detecção personalizada. A opção C aproveita esse recurso integrado. Depois que o GuardDuty estiver ativado, as descobertas serão geradas automaticamente quando a atividade de mineração for detectada. Essas descobertas são enviadas ao Amazon EventBridge quase em tempo real. Uma regra do EventBridge pode filtrar descobertas relacionadas à criptomoeda e acionar uma função do AWS Lambda. A função Lambda pode então identificar a instância do EC2 afetada e encerrá-la ou ajustar o grupo do Auto Scaling para substituí-la. Essa abordagem requer código personalizado mínimo e nenhuma análise de log, trabalhos agendados ou pipelines de análise. As opções A e B dependem de análise de log personalizada, execução periódica e manutenção de listas de domínios ou IPs de mineração, o que aumenta significativamente a complexidade e o tempo de resposta. A opção D usa o AWS Security Hub, que agrega descobertas do GuardDuty e de outros serviços, mas não se destina à correção imediata e de baixa latência. Portanto, a Opção C fornece detecção mais rápida, resposta imediata e menor sobrecarga de desenvolvimento usando serviços de detecção de ameaças gerenciados pela AWS.