Uma empresa planeja migrar aplicações para uma única região da AWS usando Amazon EC2, Elastic Load Balancing (ELB) e Amazon S3. A migração deve ser concluída rapidamente e deve atender aos seguintes requisitos: dados criptografados em repouso, dados criptografados em trânsito e endpoints monitorados para atividades de rede anômalas. Qual combinação de ações um engenheiro de segurança deve tomar com o menor esforço? (Escolha três.)

Para monitorar atividades de rede anômalas, habilitar o Amazon GuardDuty é a solução mais eficiente, pois ele oferece detecção de ameaças contínua e gerenciada. Para criptografia em trânsito, usar o AWS Certificate Manager (ACM) com balanceadores de carga (ELB) é a forma padrão e de menor esforço para provisionar e gerenciar certificados SSL/TLS, garantindo a comunicação segura. Para criptografia em repouso no S3, usar o AWS KMS para gerenciamento de chaves e uma política de bucket que exija o cabeçalho x-amz-server-side-encryption garante que todos os objetos enviados sejam criptografados no lado do servidor, atendendo ao requisito de forma programática. As outras opções são menos ideais: Instalar o agente do Amazon Inspector é para análise de vulnerabilidades em instâncias, não para monitoramento de rede anômala. Criar VPC endpoints para EC2 e S3 é uma boa prática de segurança, mas não aborda diretamente a criptografia em trânsito ou anomalias de rede. A política de bucket que nega x-amz-meta-side-encryption está incorreta; o cabeçalho correto para exigir criptografia do lado do servidor é x-amz-server-side-encryption.