Helios Media erstellt eine DevSecOps-Pipeline in AWS CodePipeline/CodeBuild. Das Sicherheitsteam muss vor der Bereitstellung die Infrastrukturrichtlinie als Code (policy-as-code) durchsetzen und statische Anwendungssicherheitsprüfungen bei jedem Pull Request hinzufügen, wobei der Build fehlschlägt, wenn Probleme mit hoher Schwere gefunden werden. Welche zwei Aktionen sollte das Team implementieren? (Wählen Sie zwei.)

Um die Infrastrukturrichtlinie als Code durchzusetzen, ist das Hinzufügen einer CodeBuild-Phase, die cfn-guard (CloudFormation Guard) ausführt, die effektivste Methode. cfn-guard ermöglicht die statische Analyse von CloudFormation-Vorlagen gegen definierte Regelsätze und kann den Build bei Verstößen fehlschlagen lassen, was die Einhaltung der Richtlinien vor der Bereitstellung sicherstellt. Für statische Anwendungssicherheitsprüfungen bei jedem Pull Request ist die Integration von AWS CodeGuru Security in die Pipeline die passende Lösung. CodeGuru Security scannt den Anwendungscode auf Schwachstellen und kann so konfiguriert werden, dass der Build bei kritischen Funden fehlschlägt. Amazon Inspector scannt Laufzeitumgebungen und nicht direkt den Quellcode während des Builds für Pull Requests. AWS Config Conformance Packs und CloudFormation Stack Policies sind eher für die Überwachung nach der Bereitstellung oder die Laufzeitverwaltung gedacht und nicht für die statische Analyse vor der Bereitstellung im Rahmen eines Pull Requests.