Security Flashcards
Como fazer para dar acesso a um usuário de usar KMS?
1) Fazer com que a Key Policies permita esse usuário
2) IAM Policy permite API call
Que tamanho máximo o segredo pode ter usando KMS?
4KB
Quais as formas de segurança possiveis para o Kinesis Data Streams?
1) SSL in Flight
2) AWS KMS
3) SSE-C, o cliente tem que escrever código
4) Supporta VPC End-point
5) KCL precisa ter acesso R/W no DynamoDB
Quais as formas de segurança possiveis para o Kinesis Data Firehose?
1) IAM Role para acessar Redshift, Opensearch, S3 e SPLUNK
2) AWS KMS
3) VPC Endpoint
Quais as formas de segurança possiveis para o Kinesis Data Analytics?
IAM role so it can read from Kinesis Data Streams
Quais as formas de segurança possiveis para o SQS?
1) HTTPS Endpoint
2) AWS KMS
3) IAM Policies must allow SQS
4) SQS queue access policy
Quais as formas de segurança possiveis para o IoT?
1) IoT Policies: Attach to X.509 ou Cognito
2) Policies podem ser atribuidas a grupos de devices, não só 1
3) Attach Roles on the Rules Engine para rodar
Quais as formas de segurança possiveis para o DynamoDB?
1) TLS in flight
2) KMS for base table and secundary index
3) Access Table/API/DAX using IAM
4) DynamoDB streams are also encrypted
Quais as formas de segurança possiveis para o RDS?
1) VPC provides Network Isolation
2) Security Groups control access to the RDS Instance
3) KMS
4) SSL in Flight
5) IAM policies
6) IAM Authentication SOMENTE é suportado no PostgreSQl e MySQL
7) o RDS é quem diz que usuário acessa o que
8) MSSQL e ORACLE possuem a tecnologia Transparent Data Encryption)
Quais os mecanismos de seguranca de Glue Data Catalog?
KMS e Resource Policies. Similar a S3 de quem pode acessar
Quantos security groups tem para o EMR? Quais?
2 - 1 para o Primary Node outro para os outros nodes falarem entre si.
Quais criptografias estão disponiveis para o EMRFS?
SSE-S3, SSE-KMS, Client side. SSE-C NÃO é suportado.
TLS para in-transit
Quais criptografias estão disponiveis para disco local no cluster EMR?
EC2 Instance Store Encrypt: NVMe ou LUKS encryp
EBS Volume: KMS. Pode usar LUKS, mas ele não encripta o root
TLS para in transit
Qual mecanismos de segurança para o Opensearch/Elasticsearch?
VPC Isolation
ES Policy
KMS
SSL in-transit
IAM or Cognito Base authN
Quais os recursos de segurança para o Redshift?
VPC Isolation
Cluster security group
SSL in flight
KMS ou HSM(Device) (IMPORTANTE)
Support SSE-S3
IAM roles to access other resources
Usando comando COPY ou UNLOAD, precisa referenciar o IAM role ou colar a credential access key e secret cred key
Quais mecanismos de segurança do Athena?
IAM policy
Data in S3, então: IAM Policy, ACLs, Bucket Policies
S3 based encrypt: SSSE-S3, KMS, SSE-C, Client Side
TLS in-transit
Quais os mecanismos de segurança do Quicksights?
Standard Edit: IAM users, email authN
Enterprise: AD, Federate, MFA, Encryption in SPICE
IMPORTANTE: ROW LEVEL Security pra dar acesso a usuários de forma granuilar
Podemos usar policy tags nas databeses, tabelas e colunas no Lake formation para restringir acesso. V ou F?
VERDADEIRO.
O que é o KMS Key Rotation e como funciona?
Pode ser Manual ou Automatico e a chave muda 1vez por ano.
O cliente que gerencia sua propria chave nesse caso.
A nova chave tem o mesmo CMK ID
Que formas de AuthN uma Third party Federated pode assumir?
SAML: Active Directory
Cognito: Se quiser dar acesso a um bucket S3, Conginto é a boa
Custom ID Broker (Complicado de Implementar): USAR APENAS se a applicação não for compativel com SAML
LDAP, SSO, OpenID, Cognito, usando Federação não é preciso criar IAM user
Quais formas de compressão são suportadas no comando COPY para o Redshift?
GZIP, izop e bzip2
Quanto a politicas avançadas, quais os 3 tipos de $aws: XXXX que podemos usar para restringir acesso?
username: restringir usuários a tabelas ou buckets
PrincipalType: user, account, federate ou assumed role
PrincipalTag/Department: to restrict user Tags
Se for Federado:
FederatedProvider: limita quem é o fornecedor da authenticação Cognito, Amazon…
,${www.amazon.com:user_id}, se for usar o user_id da Amazon ou ${cognito-identity.amazon.com:sub} se for cognito
Sobre GSI e LSI, quando que cada um pode ser implementado?
LSI só na criação da tabela
GSI pode ser acrescentado/alterado depois - altera PK (HASH ou HASH+RANGE)
