首页 / AWS / SCS-C03

AWS · SCS-C03

AWS Certified Security – Specialty

SCS-C03 英文 PDF 练习题，共 143 题，按题库顺序提供题目、原脚本支持的选项、答案及已有解析。本方案仅适用于此考试，一次付费，不自动续费。

考试介绍

面向云安全专业人员，考核威胁检测、基础设施防护、身份权限、数据保护及安全治理。

官网公布部分考试语言将停用；请在官方页面核对语种与日期。

考试代码: SCS-C03
官方考试／认证名称: AWS Certified Security – Specialty
考试形式: 单选题及多选题
考试时长: 170 分钟
官方考试题量: 65 题
官方可选考试语言: 英文、日文、韩文、葡萄牙文（巴西）、简体中文、西班牙文（拉丁美洲）

官方考试语言与下方练习题文件的语言分别列出；实际考试版本及可选语种以官方预约页面为准。

官方来源：官方资料
信息核对日期：2026-10-20

支持的语言

英文
简体中文

先试阅，再决定

前20 题免费试阅

题库共 143 题

题目按题库原始顺序展示。展开查看答案和解析。

免责声明：本站所有题目均整理自互联网，仅供学习参考。

第 16 题

Question#16Topic1

一家公司正在 Auto Scaling 组中的 Amazon EC2 实例上运行应用程序。应用程序将日志存储在本地。一位安全工程师注意到，在缩减事件后日志丢失了。安全工程师需要推荐一个解决方案来保证日志数据的持久性和可用性。所有日志必须保存至少 1 年以供审计之用。
安全工程师应该推荐什么？

A.在 Auto Scaling 生命周期中，添加一个挂钩，以便在每次创建 EC2 实例时创建并附加 Amazon Elastic Block Store (Amazon EBS) 日志卷。当实例终止时，EBS卷可以重新附加到另一个实例以进行日志审查。
B.创建 Amazon Elastic File System (Amazon EFS) 文件系统，并在 Auto Scaling 启动模板的用户数据部分中添加命令，以在 EC2 实例创建期间挂载 EFS 文件系统。在实例上配置一个进程，每天一次将日志从实例 Amazon Elastic Block Store (Amazon EBS) 卷复制到 EFS 文件系统中的目录。
C.将 Amazon CloudWatch 代理添加到 Auto Scaling 组中使用的 AMI 中。配置 CloudWatch 代理以将日志发送到 Amazon CloudWatch Logs 供审核。
D.在 Auto Scaling 生命周期内，在终止状态转换处添加生命周期挂钩，并通过使用 Amazon Simple Notification Service (Amazon SNS) 的生命周期通知来提醒工程团队。将挂钩配置为保持终止：等待状态 1 小时，以便在实例终止之前手动检查安全日志。

查看答案与解析

答案

解析

第 17 题

Question#17Topic1

一家公司正在使用 AWS 对 Amazon S3 存储桶中存储的数据运行长时间运行的分析过程。该进程在 Auto Scaling 组中的一组 Amazon EC2 实例上运行。 EC2 实例部署在无法访问 Internet 的 VPC 的私有子网中。 EC2 实例和 S3 存储桶位于同一 AWS 账户中。
EC2 实例通过具有默认访问策略的 S3 网关终端节点访问 S3 存储桶。每个 EC2 实例都与一个实例配置文件角色关联，该角色具有明确允许仅对所需的 S3 存储桶执行 s3:GetObject 操作和 s3:PutObject 操作的策略。
该公司了解到一个或多个 EC2 实例受到威胁，并且正在将数据泄露到 AWS Organizations 中公司组织外部的 S3 存储桶中。安全工程师必须实施一种解决方案来阻止这种数据泄露并保持 EC2 处理作业正常运行。
哪种解决方案可以满足这些要求？

A.更新 S3 网关终端节点上的策略，以仅当 aws:ResourceOrgID 和 aws:PrincipalOrgID 条件键的值与公司的值匹配时才允许 S3 操作。
B.更新实例配置文件角色的策略，以仅当 aws:ResourceOrgID 条件键的值与公司的值匹配时才允许 S3 操作。
C.将网络 ACL 规则添加到 EC2 实例的子网以阻止端口 443 上的传出连接。
D.在 AWS 账户上应用 SCP，仅当 aws:ResourceOrgID 和 aws:PrincipalOrgID 条件键的值与公司的值匹配时才允许 S3 操作。

查看答案与解析

答案

解析

第 18 题

Question#18Topic1

一家公司最近在其基于云的环境中遭遇了恶意攻击。该公司成功遏制并消除了此次攻击，一名安全工程师正在执行事件响应工作。安全工程师需要将 Amazon RDS 数据库集群恢复到最后一个已知的良好版本。数据库集群配置为生成保留期为 14 天的自动备份。首次攻击发生在 5 天前下午 3:15 整
哪种解决方案可以满足这个要求？

A.确定数据库的区域集群 ARN。使用 ARN 通过恢复到时间点功能来恢复区域集群。设置 5 天前下午 3:14 的目标时间。
B.确定数据库的区域集群 ARN。列出已为集群拍摄的快照。使用创建时间最接近 5 天前下午 3:14 的快照还原数据库。
C.列出对公司所有 RDS 数据库拍摄的所有快照。识别最接近 5 天前下午 3:14 拍摄的快照并将其恢复。
D.确定数据库的区域集群 ARN。使用 ARN 通过恢复到时间点功能来恢复区域集群。 14 天前设定目标时间。

查看答案与解析

答案

解析

第 19 题

Question#19Topic1

公司的安全工程师需要设计一个事件响应计划来解决受损的 IAM 用户帐户凭证问题。该公司使用 AWS Organizations 和 AWS IAM 识别中心中的组织来管理用户访问。该公司使用委派管理员帐户来实施 AWS Security Hub。委派管理员账户包含 AWS CloudTrail 中的组织跟踪，该跟踪将所有事件记录到 Amazon S3 存储桶。该公司还配置了一个组织事件数据存储，用于捕获跟踪中的所有事件。
事件响应计划必须提供安全工程师在收到安全事件通知时可以采取的步骤，以立即禁用任何受到威胁的 IAM 用户。
该计划必须防止 IAM 用户在任何 AWS 账户中使用。该计划还必须收集受感染的 IAM 用户在过去 7 天内在所有账户中执行的所有 AWS 操作。
哪种解决方案可以满足这些要求？

A.在组织管理账户中禁用受感染的 IAM 用户。使用 Amazon Athena 查询 S3 存储桶中的组织 CloudTrail 日志，了解 IAM 用户在过去 7 天内执行的操作。
B.删除附加到组织管理账户中 IAM 用户的所有 IAM 策略。使用 Security Hub 查询 CloudTrail 日志以了解 IAM 用户在过去 7 天内执行的操作。
C.删除在 IAM Identity Center 中分配给 IAM 用户的任何权限集。使用 Amazon CloudWatch Logs Insights 直接查询 S3 存储桶中的组织 CloudTrail 日志，以了解 IAM 用户在过去 7 天执行的操作。
D.在 IAM Identity Center 中禁用 IAM 用户的访问权限。使用 CloudTrail 查询组织事件数据存储以获取 IAM 用户在过去 7 天内执行的操作。

查看答案与解析

答案

解析

第 20 题

Question#20Topic1

安全工程师正在为在 VPC 中运行敏感工作负载的一组 Amazon EC2 实例设计安全控制。安全工程师需要实施一个解决方案来检测和缓解 EC2 实例上的软件漏洞。
哪种解决方案可以满足这个要求？

A.使用 Amazon Inspector 扫描 EC2 实例。使用 AWS Systems Manager Patch Manager 应用安全补丁和更新。
B.在每个 EC2 实例上安装基于主机的防火墙和防病毒软件。使用 AWS Systems Manager Run Command 更新防火墙和防病毒软件。
C.在 EC2 实例上安装 Amazon CloudWatch 代理。启用详细日志记录。使用 Amazon EventBridge 查看软件日志是否存在异常。
D.使用 Amazon GuardDuty 恶意软件防护扫描 EC2 实例。使用 AWS Systems Manager Patch Manager 应用安全补丁和更新。

查看答案与解析

答案

解析

下载与使用

本资料按考试单独购买，支持 1、3、6 或 12 个月期限。
支付确认后，在“我的练习题”中查看下载入口和准确到期时间。
有效期内可重复下载；到期后需要重新购买。
PDF 仅供购买者个人学习使用，不可转售或公开分享。
已下载至设备的文件不会因权限到期被远程删除。

如何选择适合自己的认证