Descifrado de preguntas de escenarios complejos

Las preguntas de SCS-C02 son principalmente escenarios: un párrafo describe una situación y solicita la mejor acción. A menudo, varias opciones funcionarían técnicamente.

Su tarea es encontrar la respuesta más segura, con el mínimo privilegio y recomendada por AWS, no simplemente una que funcione.

Busque los requisitos clave antes de revisar las opciones: "la menor carga operativa", "sin administrar servidores", "la opción más rentable", "sin exponer las claves".

Estos calificadores descartan respuestas que, de otro modo, serían correctas. Márquelos mentalmente; son la verdadera pregunta.

Cuando dos respuestas conceden acceso, normalmente es correcta la que concede menos.

• Un rol con alcance limitado en lugar de un rol amplio.
• Un recurso específico en lugar de un comodín.
• Credenciales temporales en lugar de claves de larga duración.

El mínimo privilegio es el principio predeterminado del examen.

AWS prioriza los servicios administrados y la automatización frente al trabajo manual.

• La rotación de Secrets Manager en lugar de un script manual.
• SSM Session Manager en lugar de un bastion administrado por usted.
• La corrección automática de EventBridge en lugar de una persona de guardia.

"La menor carga operativa" apunta en esta dirección.

Descarte rápidamente las respuestas que:

• Usen la cuenta raíz para tareas rutinarias.
• Incluyan claves de larga duración en el código.
• Ab ran 0.0.0.0/0 sin necesidad.
• Deshabiliten el cifrado o el registro.

Casi nunca son correctas.

Los distractores atractivos mencionan un servicio real que no encaja del todo.

Por ejemplo, GuardDuty (detección) cuando la pregunta requiere Macie (detección de datos), o NACL cuando se necesita un grupo de seguridad con estado. Asocie el servicio con su propósito preciso.

Las preguntas sobre cuentas cruzadas y KMS evalúan si recuerda que ambos lados deben permitir el acceso.

Una respuesta que solo corrige la política de confianza, pero no el permiso de IAM del solicitante (o solo la política de claves, pero no IAM), está incompleta. Busque la opción que abarque ambos aspectos.

Recuerde estos datos breves, pero comprobados:

• Los certificados de CloudFront deben estar en us-east-1.
• No puede cifrar un volumen existente en el mismo lugar; copie una instantánea.
• Para compartir una instantánea cifrada, también debe compartir la clave de KMS.

Con tiempo limitado, no dedique demasiado tiempo a una sola pregunta difícil.

• Descarte las opciones claramente incorrectas, elija la mejor respuesta y marque la pregunta para revisarla.
• Las preguntas fáciles valen lo mismo que las difíciles.

Administre su ritmo para llegar a todas las preguntas.

Preste atención a los verbos de la pregunta. "Prevenir" o "bloquear" apunta a controles preventivos (SCP, grupos de seguridad, denegaciones en políticas de bucket).

"Detectar", "alertar" o "investigar" apunta a controles detectivos (GuardDuty, Config, CloudTrail, Detective). Relacionar el verbo con el tipo de control permite acotar rápidamente la respuesta correcta.

Para cada escenario: identifique el requisito principal, tome nota de los calificadores, descarte las opciones inseguras o excesivas y elija la respuesta administrada con el menor privilegio.

Esta rutina convierte los párrafos intimidantes en una decisión clara.

Aplique la estrategia de descifrado.

Aprendió a descifrar escenarios.

• Lea los calificadores que acotan la respuesta.
• Prefiera opciones con el menor privilegio, administradas y automatizadas.
• Descarte las opciones inseguras y recuerde los detalles importantes sobre los permisos de ambas partes y las regiones.