Quiz de Validação - MÓDULO 6
Este quiz de 30 questões permite validar seus conhecimentos sobre segurança de rede AWS antes de passar para o laboratório prático.
Questão 1
Qual é a principal diferença entre um Security Group e uma NACL?
A) Nenhuma diferença
B) Security Group é stateful no nível da instância, NACL é stateless no nível da sub-rede
C) NACL é mais seguro
D) Security Group é gratuito, NACL é pago
Ver resposta
Resposta: B
Os Security Groups são stateful (as respostas ao tráfego autorizado são automaticamente permitidas) e se aplicam no nível da instância. As NACLs são stateless (é necessário regras explícitas para o tráfego de entrada E saída) e se aplicam no nível da sub-rede.
Questão 2
O que significa "stateful" para um Security Group?
A) Ele mantém o estado das regras
B) Se o tráfego de entrada é permitido, o tráfego de resposta de saída é automaticamente permitido
C) As regras são permanentes
D) Ele não pode ser modificado
Ver resposta
Resposta: B
Stateful significa que o Security Group acompanha o estado das conexões. Se você permite uma requisição HTTP de entrada (porta 80), a resposta HTTP de saída é automaticamente permitida sem necessidade de uma regra outbound explícita.
Questão 3
O que significa "stateless" para uma NACL?
A) Ela não tem estado
B) É necessário regras explícitas para o tráfego de entrada E para o tráfego de saída
C) Ela é mais rápida
D) Ela não suporta TCP
Ver resposta
Resposta: B
Stateless significa que a NACL não acompanha as conexões. Para permitir uma conexão HTTP, é preciso uma regra inbound para a porta 80 E uma regra outbound para as portas efêmeras (1024-65535) da resposta. Cada direção é avaliada independentemente.
Questão 4
Qual é o comportamento padrão de um Security Group para o tráfego de entrada?
A) Tudo é permitido
B) Tudo é negado
C) Apenas SSH é permitido
D) Apenas HTTP é permitido
Ver resposta
Resposta: B
Por padrão, um Security Group nega todo o tráfego de entrada (inbound). É necessário adicionar explicitamente regras para permitir o tráfego desejado. Por outro lado, o tráfego de saída (outbound) é permitido por padrão.
Questão 5
Qual é o comportamento padrão de uma NACL personalizada para o tráfego de entrada?
A) Tudo é permitido
B) Tudo é negado
C) Depende da configuração do VPC
D) Mesmas regras do Security Group
Ver resposta
Resposta: B
Uma NACL personalizada (custom) nega todo o tráfego por padrão (entrada e saída) até que regras sejam adicionadas. A NACL padrão do VPC permite todo o tráfego. É importante distinguir entre as duas.
Questão 6
Qual é o comportamento padrão da NACL padrão do VPC?
A) Tudo é negado
B) Tudo é permitido (entrada e saída)
C) Apenas o tráfego interno é permitido
D) Apenas SSH é permitido
Ver resposta
Resposta: B
A NACL padrão criada com o VPC permite todo o tráfego de entrada e saída. Isso é diferente de uma NACL personalizada que você cria, que nega tudo por padrão. Atenção para não confundir as duas.
Questão 7
Como as regras de uma NACL são avaliadas?
A) Todas as regras são avaliadas
B) Por ordem do número da regra, a primeira que corresponder é aplicada
C) A regra mais específica vence
D) Aleatoriamente
Ver resposta
Resposta: B
As regras da NACL são avaliadas em ordem numérica crescente (da menor para a maior). Assim que uma regra corresponde ao tráfego, ela é aplicada e as regras seguintes são ignoradas. Por isso, a ordem dos números é importante.
Questão 8
Como as regras de um Security Group são avaliadas?
A) Por ordem de prioridade
B) Todas as regras são avaliadas e se uma permite o tráfego, ele é permitido
C) A primeira regra que corresponder é aplicada
D) Por ordem alfabética
Ver resposta
Resposta: B
Diferente das NACLs, todas as regras de um Security Group são avaliadas. Se pelo menos uma regra permite o tráfego, ele é permitido. Não há conceito de prioridade ou ordem. Os Security Groups são "allow only" (não possuem regras deny).
Questão 9
É possível criar regras DENY em um Security Group?
A) Sim
B) Não, os Security Groups suportam apenas regras ALLOW
C) Apenas para o tráfego de saída
D) Apenas para algumas portas
Ver resposta
Resposta: B
Os Security Groups suportam apenas regras ALLOW. Tudo que não é explicitamente permitido é negado por padrão. Para criar regras DENY explícitas, é necessário usar as NACLs, que suportam regras ALLOW e DENY.
Questão 10
É possível criar regras DENY em uma NACL?
A) Não
B) Sim, as NACLs suportam ALLOW e DENY
C) Apenas para o tráfego de entrada
D) Apenas para UDP
Ver resposta
Resposta: B
As NACLs suportam regras ALLOW e DENY, o que permite bloquear explicitamente certos tipos de tráfego ou determinados endereços IP. Isso é útil para bloquear IPs maliciosos conhecidos no nível da sub-rede.
Questão 11
Em qual nível se aplica um Security Group?
A) No nível do VPC
B) No nível da sub-rede
C) No nível da instância (ENI)
D) No nível da região
Ver resposta
Resposta: C
Um Security Group se aplica no nível da interface de rede elástica (ENI), ou seja, no nível da instância. Cada instância pode ter vários Security Groups, e um Security Group pode ser associado a várias instâncias.
Questão 12
Em qual nível se aplica uma NACL?
A) No nível da instância
B) No nível da sub-rede
C) No nível do VPC
D) No nível da AZ
Ver resposta
Resposta: B
Uma NACL se aplica no nível da sub-rede. Todo o tráfego de entrada ou saída da sub-rede é avaliado pela NACL. Uma sub-rede só pode ser associada a uma única NACL, mas uma NACL pode ser associada a várias sub-redes.
Questão 13
Qual número de regra NACL representa a regra padrão (deny all)?
A) 0
B) 100
C) * (asterisco)
D) 999
Ver resposta
Resposta: C
A regra com o número * (asterisco) é a regra padrão que nega todo o tráfego que não corresponde a nenhuma outra regra. Ela não pode ser modificada ou removida. Sempre é avaliada por último.
Questão 14
Qual é a melhor prática para numerar as regras NACL?
A) Usar 1, 2, 3, 4...
B) Deixar intervalos (100, 200, 300...) para poder inserir regras
C) Usar números aleatórios
D) Sempre começar por 1000
Ver resposta
Resposta: B
É recomendado deixar intervalos entre os números das regras (por exemplo 100, 200, 300) para poder inserir novas regras entre as existentes sem precisar renumerar tudo.
Questão 15
O que são portas efêmeras e por que são importantes para as NACLs?
A) Portas reservadas para a AWS
B) Portas temporárias (1024-65535) usadas para respostas, necessárias nas regras outbound da NACL
C) Portas para criptografia
D) Portas para monitoramento
Ver resposta
Resposta: B
As portas efêmeras são portas temporárias alocadas dinamicamente pelo sistema para receber respostas. Para as NACLs (stateless), é necessário permitir as portas efêmeras (1024-65535) na saída para que as respostas às requisições de entrada possam passar.
Questão 16
É possível referenciar um Security Group em uma regra de outro Security Group?
A) Não
B) Sim, é possível permitir tráfego proveniente de outro Security Group
C) Apenas na mesma sub-rede
D) Apenas para SSH
Ver resposta
Resposta: B
É possível referenciar um Security Group como origem em uma regra de outro Security Group. Por exemplo, o Security Group do banco de dados pode permitir tráfego na porta 3306 proveniente do Security Group dos servidores de aplicação, sem especificar endereços IP.
Questão 17
Qual é a vantagem de referenciar um Security Group ao invés de um endereço IP?
A) É mais rápido
B) A regra se aplica automaticamente a todas as instâncias do SG referenciado, mesmo que seus IPs mudem
C) É mais barato
D) Nenhuma vantagem
Ver resposta
Resposta: B
Ao referenciar um Security Group, a regra se aplica automaticamente a todas as instâncias que possuem esse SG, independentemente de seus endereços IP. É mais dinâmico e mais fácil de manter, especialmente com Auto Scaling onde os IPs mudam frequentemente.
Questão 18
Quantos Security Groups podem ser anexados a uma instância por padrão?
A) 1
B) 5
C) Ilimitado
D) 10
Ver resposta
Resposta: B
Por padrão, é possível anexar até 5 Security Groups a uma interface de rede (portanto, a uma instância). Esse limite pode ser aumentado mediante solicitação de quota. Todas as regras de todos os SGs anexados são avaliadas em conjunto.
Questão 19
Onde as NACLs são avaliadas em relação aos Security Groups para o tráfego de entrada?
A) Security Group primeiro, depois NACL
B) NACL primeiro, depois Security Group
C) Em paralelo
D) Apenas a NACL
Ver resposta
Resposta: B
Para o tráfego de entrada: a NACL é avaliada primeiro (no nível da sub-rede), depois o Security Group (no nível da instância). Para o tráfego de saída: Security Group primeiro, depois NACL. O tráfego deve ser permitido por ambos.
Questão 20
Uma instância não consegue receber tráfego HTTP. O Security Group permite a porta 80 e a NACL nega a porta 80. O que acontece?
A) O tráfego é permitido graças ao Security Group
B) O tráfego é negado porque a NACL bloqueia antes de chegar à instância
C) O tráfego é parcialmente permitido
D) Depende da prioridade
Ver resposta
Resposta: B
O tráfego é negado. A NACL é avaliada primeiro, antes do Security Group. Se a NACL nega o tráfego, ele nunca chega à instância e o Security Group nem é avaliado. O tráfego deve ser permitido por AMBOS para passar.
Questão 21
Qual comando de diagnóstico permite testar a conectividade em uma porta específica?
A) ping
B) telnet ou nc (netcat)
C) apenas traceroute
D) nslookup
Ver resposta
Resposta: B
telnet IP PORT ou nc -vz IP PORT permitem testar se uma porta específica está acessível. ping testa apenas ICMP (e pode ser bloqueado). Essas ferramentas ajudam a distinguir problemas de Security Group/NACL de problemas de aplicação.
Questão 22
O tráfego ICMP (ping) é permitido por padrão nos Security Groups?
A) Sim
B) Não, é necessário adicionar uma regra explícita
C) Apenas para tráfego interno
D) Apenas a partir do VPC
Ver resposta
Resposta: B
Por padrão, o tráfego ICMP (ping) não é permitido nos Security Groups. É necessário adicionar uma regra inbound específica para ICMP (Type: All ICMP - IPv4 ou Echo Request) se você quiser poder pingar as instâncias.
Questão 23
Como permitir que uma instância em uma sub-rede privada acesse a Internet para atualizações?
A) Adicionar uma rota para o IGW
B) Usar um NAT Gateway e adicionar uma rota 0.0.0.0/0 para o NAT
C) Abrir a porta 80 no Security Group
D) Não é possível
Ver resposta
Resposta: B
Para que uma instância privada acesse a Internet, é necessário um NAT Gateway em uma sub-rede pública e uma rota na tabela de rotas da sub-rede privada: 0.0.0.0/0 -> nat-xxx. O Security Group também deve permitir o tráfego de saída (por padrão, já permite).
Questão 24
Qual é a melhor prática para proteger o acesso SSH a instâncias de produção?
A) Abrir a porta 22 para 0.0.0.0/0
B) Limitar a porta 22 a IPs específicos ou usar um bastion host
C) Desativar SSH completamente
D) Usar a porta 2222 em vez de 22
Ver resposta
Resposta: B
Nunca abra SSH (porta 22) para 0.0.0.0/0 em produção. Limite o acesso a faixas de IP específicas (seu escritório, VPN) ou use um bastion host em uma sub-rede pública. O AWS Systems Manager Session Manager é uma alternativa sem porta SSH aberta.
Questão 25
O que é um bastion host (jump box)?
A) Um servidor de banco de dados
B) Um servidor em uma sub-rede pública servindo como ponto de entrada SSH seguro
C) Um tipo de load balancer
D) Um serviço gerenciado da AWS
Ver resposta
Resposta: B
Um bastion host é uma instância EC2 reforçada em uma sub-rede pública que serve como ponto de entrada único para conexões SSH. Os administradores conectam-se primeiro ao bastion, depois dele para as instâncias privadas. Isso reduz a superfície de ataque.
Questão 26
Qual ferramenta AWS permite analisar os logs de tráfego de rede do VPC?
A) CloudWatch Logs
B) VPC Flow Logs
C) AWS Config
D) Apenas GuardDuty
Ver resposta
Resposta: B
O VPC Flow Logs captura informações sobre o tráfego IP para e das interfaces de rede do VPC. Os logs podem ser enviados para o CloudWatch Logs ou S3. Eles são essenciais para troubleshooting e análise de segurança.
Questão 27
O que significa ACCEPT em um log do VPC Flow Logs?
A) O pacote foi aceito pela AWS
B) O pacote foi aceito pelo Security Group e/ou pela NACL
C) A aplicação respondeu
D) O pacote estava criptografado
Ver resposta
Resposta: B
ACCEPT nos Flow Logs significa que o tráfego foi permitido pelos Security Groups e NACLs. REJECT significa que foi negado. Atenção: ACCEPT não garante que a aplicação respondeu, apenas que as regras de rede permitiram.
Questão 28
Você vê muitos REJECT nos Flow Logs para uma porta específica. O que isso indica?
A) A aplicação tem bugs
B) O tráfego está sendo bloqueado pelos Security Groups ou NACLs
C) O servidor DNS não responde
D) O VPC está mal configurado
Ver resposta
Resposta: B
REJECTs repetidos indicam que o tráfego está sendo bloqueado pelas regras de segurança. Pode ser tráfego legítimo mal configurado (verifique as regras) ou tentativas de acesso não autorizadas (normal e esperado para tráfego malicioso).
Questão 29
Qual regra NACL deve ser adicionada para permitir respostas HTTP (porta 80)?
A) Inbound: Allow TCP 80
B) Outbound: Allow TCP 1024-65535 (portas efêmeras)
C) Outbound: Allow TCP 80
D) Nenhuma, é automático
Ver resposta
Resposta: B
Para uma NACL (stateless), é necessário uma regra inbound para a porta 80 E uma regra outbound para as portas efêmeras (1024-65535), pois as respostas usam portas efêmeras alocadas dinamicamente. Esse é um erro frequente na configuração das NACLs.
Questão 30
Em que ordem você deve verificar problemas de conectividade de rede?
A) Aplicação, depois Security Group, depois NACL
B) NACL, depois Security Group, depois Aplicação, depois Tabela de rotas
C) Tabela de rotas, depois NACL, depois Security Group, depois Aplicação
D) Tudo ao mesmo tempo
Ver resposta
Resposta: C
A ordem lógica de verificação segue o caminho do tráfego: 1) Tabela de rotas (o tráfego pode chegar à sub-rede?), 2) NACL (a sub-rede permite o tráfego?), 3) Security Group (a instância permite o tráfego?), 4) Aplicação (o serviço está ouvindo?).
Resultado
Conte suas respostas corretas:
- 27-30: Excelente - Você domina a segurança de rede AWS
- 22-26: Bom - Alguns pontos para revisar
- 17-21: Médio - Releia o curso antes do laboratório
- Menos de 17: Insuficiente - Refaça o curso desde o início
Passe para o Lab de Troubleshooting VPC assim que atingir pelo menos 22 respostas corretas.