Een bedrijf is van plan applicaties te migreren naar één AWS-regio met behulp van Amazon EC2, Elastic Load Balancing (ELB) en Amazon S3. De migratie moet snel worden voltooid en moet voldoen aan de volgende eisen: data versleuteld in rust (at rest), data versleuteld tijdens transport (in transit), en endpoints gemonitord op afwijkende netwerkactiviteit. Welke combinatie van acties moet een security engineer met de minste inspanning ondernemen? (Kies drie.)

Het inschakelen van Amazon GuardDuty in alle AWS-accounts is essentieel voor het monitoren van afwijkende netwerkactiviteit, omdat het bedreigingen detecteert met behulp van machine learning en afwijkingsdetectie. Het gebruik van AWS Certificate Manager (ACM) en het configureren van load balancers met ACM-certificaten zorgt voor versleuteling van data tijdens transport (in transit) door SSL/TLS-terminatie op de load balancer. Het gebruik van AWS Key Management Service (AWS KMS) voor sleutelbeheer en een S3 bucket policy die PutObject-aanvragen weigert tenzij de x-amz-server-side-encryption-header aanwezig is, dwingt server-side encryptie af voor data in rust (at rest) in S3. De andere opties zijn minder effectief of vereisen meer inspanning. Het installeren van de Amazon Inspector-agent via Systems Manager is nuttig voor kwetsbaarheidsbeheer, maar niet direct voor netwerkmonitoring. VPC-endpoints zijn goed voor beveiliging, maar niet de meest directe oplossing voor de gestelde eisen. De S3 bucket policy die weigert op basis van x-amz-meta-side-encryption-conditie is incorrect; de juiste header voor server-side encryptie is x-amz-server-side-encryption.