Helios Media bouwt een DevSecOps-pipeline in AWS CodePipeline/CodeBuild. Het beveiligingsteam moet infrastructuur policy-as-code afdwingen vóór de implementatie en statische applicatiebeveiligingscontroles toevoegen aan elke pull request, waarbij de build mislukt als er problemen met hoge ernst worden gevonden. Welke twee acties moet het team implementeren? (Kies twee.)

De vraag vereist twee acties: infrastructuur policy-as-code afdwingen en statische applicatiebeveiligingscontroles toevoegen. Het toevoegen van een CodeBuild-stage die cfn-guard uitvoert tegen templates met de organisatieregelset en de build laat mislukken bij overtredingen, pakt de infrastructuur policy-as-code aan. cfn-guard is ontworpen voor dit doel. Het integreren van AWS CodeGuru Security in de pipeline om applicatiecode te scannen bij elke PR/commit en de pipeline te configureren om te mislukken bij kritieke bevindingen, pakt de statische applicatiebeveiligingscontroles aan. CodeGuru Security is een SAST-tool (Static Application Security Testing) die kan worden geïntegreerd in CI/CD-pipelines. Amazon Inspector scant runtime-omgevingen en niet de broncode tijdens de build voor SAST. AWS Config conformance packs en CloudFormation Stack Policies zijn nuttig voor compliance na de implementatie of om wijzigingen aan bestaande stacks te beperken, maar ze dwingen geen beleid af vóór de implementatie in de pipeline zelf, noch voeren ze SAST uit.