Respuestas · Sesión 14 · Cifrado y auditoría

1. Respuesta: A

• A (correcta): con una clave administrada por el cliente en KMS decides en su política quién puede usarla, activas su rotación y puedes desactivarla. S3 y EBS se integran con KMS y la usan para cifrar.
• B: ACM emite certificados TLS para el cifrado en tránsito; no cifra buckets ni volúmenes.
• C: las claves administradas por AWS las crea y controla el servicio: no puedes desactivarlas ni cambiar quién las usa.
• D: Secrets Manager guarda contraseñas y claves de API, no claves de cifrado para S3 o EBS.

Repasa: sección “AWS KMS” de la sesión 14.

2. Respuesta: C

• C (correcta): Secrets Manager guarda la contraseña cifrada con KMS, la aplicación la pide por API y la rota de forma automática, también en la base de RDS.
• A: Parameter Store saca la contraseña del código, pero no la rota de forma automática.
• B: KMS guarda claves de cifrado, no contraseñas de bases de datos, y no las cambia en RDS.
• D: CloudHSM da hardware dedicado para claves criptográficas; no guarda ni rota contraseñas de aplicación.

Repasa: secciones “AWS Secrets Manager” y “AWS Systems Manager” de la sesión 14.

3. Respuesta: B

• B (correcta): cambiar una regla de un grupo de seguridad es una llamada a la API. CloudTrail la registra con el usuario, la hora, la IP y el resultado, y el historial de eventos guarda 90 días gratis.
• A: CloudWatch mide el rendimiento y guarda logs de aplicaciones; no registra quién llamó a la API.
• C: Health Dashboard informa de incidentes y mantenimientos de AWS, no de acciones de tus usuarios.
• D: Systems Manager opera servidores; no audita cambios en la cuenta.

Repasa: sección “AWS CloudTrail” de la sesión 14.

4. Respuesta: A

• A (correcta): Config guarda el historial de configuración de cada recurso y evalúa reglas de forma continua, como la regla administrada de volúmenes EBS cifrados.
• B: CloudWatch mide métricas de rendimiento; no evalúa si un volumen está cifrado ni guarda su configuración.
• C: CloudTrail diría quién creó o cambió un volumen, pero no evalúa reglas de cumplimiento ni muestra la configuración completa en el tiempo.
• D: ACM gestiona certificados TLS, sin relación con el cifrado de volúmenes.

Repasa: secciones “AWS Config” y “CloudWatch vs CloudTrail vs Config” de la sesión 14.

5. Respuesta: C

• C (correcta): Systems Manager aplica parches según un calendario con Patch Manager y abre terminales con Session Manager, sin abrir el puerto 22 ni guardar llaves SSH.
• A: CloudTrail registra las llamadas a la API; no parchea ni conecta a instancias.
• B: Config evalúa configuraciones; puede detectar una instancia sin parches, pero no la parchea.
• D: CloudWatch vigila métricas y logs; no aplica parches ni da acceso a la instancia.

Repasa: sección “AWS Systems Manager” de la sesión 14.