這些題目為學習目的而獨立製作，並非 AWS 官方考題、實際考題、外流題或考題庫。
SAA-035
希望在正式環境帳戶中,持續偵測憑證的不當使用,以及來自 EC2 執行個體的可疑通訊(惡意軟體的 C2 通訊或加密貨幣挖礦)。下列哪項服務可在不導入代理程式、不建置日誌分析平台的情況下開始使用?
選項
解析與正確答案
閱讀解析與正確答案（劇透：建議先自行作答）
正確答案：D. 啟用 Amazon GuardDuty
解析
Amazon GuardDuty 會由 AWS 端自動擷取 CloudTrail 事件、VPC 流量日誌、Route 53 DNS 查詢日誌等,並以威脅情資與機器學習偵測可疑行為。不需要導入代理程式,也不需要建置日誌平台,只要啟用即可開始偵測。
各選項解析
A. 以 AWS Config 記錄資源設定的變更,並以 Config 規則評估合規狀態
AWS Config 進行的是資源設定變更歷程的記錄,以及設定是否符合所定規則的評估,屬於設定合規的領域,通訊內容或憑證不當使用等威脅的偵測並非其對象。
B. 啟用 AWS CloudTrail 的追蹤,並將日誌儲存至 S3 儲存貯體
CloudTrail 僅記錄 API 操作,不具備從該記錄中判定威脅的功能。若要偵測則另需分析機制。GuardDuty 即將此 CloudTrail 日誌作為輸入之一加以利用。
C. 以 Amazon Inspector 掃描 EC2 執行個體與 ECR 映像的弱點
Amazon Inspector 為持續掃描軟體弱點與未預期網路可達性的弱點管理服務。雖能找出已知的 CVE,但無法偵測實際正在進行中的可疑通訊或憑證濫用。
D. 啟用 Amazon GuardDuty
正解。只要啟用即可開始日誌擷取與威脅偵測,偵測結果可經由 Security Hub 或 EventBridge 串接至通知與自動因應。
實際使用情境
Amazon GuardDuty 為偵測 AWS 帳戶內「進行中威脅」的受管威脅偵測服務。作為輸入的資料來源(CloudTrail 管理事件、CloudTrail S3 資料事件、VPC 流量日誌、Route 53 解析器 DNS 查詢日誌、EKS 稽核日誌等)由 GuardDuty 於 AWS 端直接擷取,因此使用者不需要啟用日誌、轉送至 S3 或建置分析平台。偵測結果以 Finding 形式附帶嚴重性(Low / Medium / High)輸出,並以 EventBridge 事件觸發,可串接至 SNS 通知或以 Lambda 自動隔離。 與相似服務的職責分工相當重要。Amazon Inspector 負責掃描 EC2、ECR 映像、Lambda 函式的軟體弱點(CVE)與未預期網路可達性的「弱點管理」;AWS Config 負責資源設定變更歷程與規則合規評估的「設定合規」;AWS CloudTrail 負責 API 操作的「記錄」;Amazon Macie 則負責 S3 內機密資料的「發現與分類」。GuardDuty 的不同之處在於以這些日誌為輸入,判定與已知惡意 IP、網域的通訊,來自異常區域的 API 呼叫,以及來自 EC2 的加密貨幣挖礦通訊等行為。在多帳戶環境中,可與 AWS Organizations 整合,從委派管理員帳戶一次為所有成員帳戶啟用。 SAA-C03 中,「可疑活動的偵測」「遭入侵的憑證」「惡意軟體通訊」「不需代理程式且希望立即開始」等需求下,GuardDuty 即為正解。誤答則排列出 Inspector(弱點掃描)、Config(設定評估)、CloudTrail(僅記錄)等,皆可從「不進行偵測」這點加以區別。若希望彙整偵測結果以單一介面檢視,則搭配 AWS Security Hub,亦為進階的出題方向。