A Helios Media está construindo um pipeline DevSecOps no AWS CodePipeline/CodeBuild. A equipe de segurança deve aplicar a política de infraestrutura como código antes da implantação e adicionar verificações de segurança de aplicativos estáticos em cada pull request, falhando na construção se forem encontrados problemas de alta gravidade. Quais duas ações a equipe deve implementar? (Escolha duas.)

A equipe deve adicionar um estágio do CodeBuild que executa o cfn-guard (CloudFormation Guard) em relação aos modelos. O cfn-guard permite a validação de políticas de infraestrutura como código (IaC) antes da implantação, garantindo que os modelos estejam em conformidade com as regras da organização e falhando na construção se houver violações. Isso atende ao requisito de aplicar a política de IaC. Além disso, a integração do AWS CodeGuru Security ao pipeline é crucial. O CodeGuru Security é uma ferramenta SAST (Static Application Security Testing) que pode ser configurada para analisar o código do aplicativo em cada pull request/commit, identificando vulnerabilidades de alta gravidade e falhando na construção conforme exigido. Habilitar o Amazon Inspector não é a melhor opção para verificar o código-fonte durante a construção; ele é mais adequado para análise de vulnerabilidades em instâncias EC2 e imagens de contêiner. Anexar um pacote de conformidade do AWS Config ou usar CloudFormation Stack Policies são controles pós-implantação ou de tempo de execução, não atendendo ao requisito de verificações de segurança antes da implantação ou em cada pull request.