AWS Security Specialty SCS-C03
Sổ tay nhớ nhanh

Gom toàn bộ ghi chú Udemy và đề ôn theo 6 domain, thêm các phần còn thiếu (đánh dấu Bổ sung), sửa vài chỗ ghi chú chưa đúng (đánh dấu Sửa). Bấm 🙈 Tự kiểm tra để che đáp án, bấm vào ô để mở xem.

65câu (50 tính điểm + 15 thử nghiệm)

170'thời gian làm bài

750điểm đậu / 1000

4 dạngSingle · Multi · Ordering · Matching

⏳ Đến giờ thi 17/11:

0ngày

0giờ

0phút

Công thức đọc đề 3 bước

① Đối tượng
EC2, S3, Account, User…→② Hành động
Phát hiện / Chặn / Điều tra / Tự sửa→③ Ràng buộc
Ít công sức, real-time, không sửa code, multi-account

Ràng buộc gần như luôn là thứ quyết định đáp án. "Least operational overhead" → chọn tính năng managed có sẵn, không tự viết script.

✨

Câu thần chú SCS-C03

Đã ôn

Nhớ theo cấu trúc chứ không nhớ tên dịch vụ rời rạc. Đề hay đưa đáp án dùng đúng dịch vụ nhưng giải quyết sai vấn đề.

Cách nhận diện đáp án

Requirement
yêu cầu→Keyword
từ khóa→AWS Service
dịch vụ→Architecture
kiến trúc

"Central IdP, many accounts" → IAM Identity Center
"Secret, runtime, cost-effective" → SSM Parameter Store SecureString
"No changes or deletions, retain 2 years" → S3 Object Lock Compliance
"Near real-time compliance alert" → AWS Config + EventBridge + SNS

15 câu ưu tiên học thuộc

1External IdP + Multi-account + Centralized Access = IAM Identity Center + SAML + SCIM

2Temporary Credentials + Cross-account Access = STS AssumeRole

3On-premises Workload + X.509 Certificate = IAM Roles Anywhere

4Secret + Runtime Retrieval + Cost Optimization = SSM SecureString

5Secret + Automatic Rotation = Secrets Manager

6KMS CreateGrant + Immediate Use = Grant Token

7S3 Origin Protection + CloudFront = OAC

8Multi-account + Centralized WAF = Firewall Manager

9Organization-wide Logging = CloudTrail Organization Trail

10Immutable Audit Logs = S3 Object Lock Compliance Mode

11Sensitive Data Discovery = Macie

12Vulnerability / CVE Scanning = Inspector

13Threat Detection = GuardDuty

14Configuration Compliance = AWS Config

15Policy-as-Code for CloudFormation = CloudFormation Guard

1. IAM – Federation – STS

Nhận diện trong đề	Câu thần chú
IdP tập trung, nhiều AWS account	External IdP + Multi-account + Centralized Access = Identity Center + SAML + SCIM + Permission Sets
Federation với external IdP	SAML = Authentication · SCIM = User/Group Provisioning
Gán quyền vào member account	Permission Set + User/Group + AWS Account = Account Assignment
Truy cập account khác	Temporary Credentials + Cross-account = STS AssumeRole
GitHub/GitLab hoặc workload ngoài dùng OIDC	IAM OIDC Identity Provider + Role Trust Policy (`AssumeRoleWithWebIdentity`)
Workload bên ngoài AWS có cert	On-prem + X.509 + Temporary Credentials = IAM Roles Anywhere
Đối tác bên thứ ba assume role	Confused Deputy Prevention = ExternalId + Trust Policy
Giới hạn quyền theo từng phiên	Dynamic Least Privilege + STS Session = Session Policy
Permissions Boundary có cấp quyền không?	Maximum Permission Boundary ≠ Permission Grant (chỉ giới hạn)
Hai phía phải cho phép AssumeRole	Identity Policy Allow (nguồn) + Trust Policy Allow (đích)

2. Secrets – KMS – Encryption

Nhận diện trong đề	Câu thần chú
API token/password, ưu tiên tiết kiệm chi phí	Secret + Runtime + Cost = SSM Parameter Store SecureString
Credentials DB cần tự động xoay vòng	Secret + Automatic Rotation = Secrets Manager
Grant vừa tạo, chưa propagate, AccessDenied	Grant Token
IAM policy cho phép KMS nhưng vẫn lỗi	IAM Allow ≠ tự động được phép → kiểm tra Key Policy
SCP chặn dù IAM cho phép	SCP Deny > IAM Allow
Key material trong HSM riêng	CloudHSM + KMS Custom Key Store
Mang key từ bên ngoài vào KMS	Imported Key Material + CMK = BYOK
Mã hóa dữ liệu lưu trữ / khi truyền	At rest = KMS CMK · In transit = TLS
Log/chứng cứ không được sửa hoặc xóa	S3 Object Lock Compliance Mode (WORM)

3. S3 – CloudFront – WAF – Network

Nhận diện trong đề	Câu thần chú
Ngăn truy cập trực tiếp S3	OAC + S3 Bucket Policy
Chặn quốc gia không được phép	CloudFront Geo Restriction
Ngăn bypass CloudFront vào ALB	Custom Header + ALB Header Validation (rule listener / WAF)
Tinh chỉnh WAF rate-based rule chống DDoS	Count trước để đo traffic, rồi mới chuyển sang Block
Chỉ ALB được vào EC2 Web	SG Web: Source = sgLB
Chỉ ứng dụng được vào DB	SG DB: Source = sgWeb
Chỉ IP công ty được SSH bastion	SG bastion: port 22 Source = Corporate IP
EC2 làm firewall/NAT/router	Disable Source/Destination Check
DB không được ra Internet, không ảnh hưởng subnet khác	Xóa default route (0.0.0.0/0) trong route table của DB subnet

4. Organizations – Governance

Nhận diện trong đề	Câu thần chú
Quản lý WAF nhiều account/Region	AWS Firewall Manager
Trail tự áp cho account hiện tại + tương lai	Organization Trail
Quản lý tập trung dịch vụ bảo mật	Delegated Administrator
Bắt buộc tag + giá trị cho phép + chặn tạo	SCP + Tag Policy
Phát hiện cấu hình không compliant	AWS Config Rules
Chia sẻ tài nguyên có sẵn giữa account	AWS RAM
Developer tự deploy sản phẩm đã duyệt	AWS Service Catalog
SCP có cấp quyền không?	SCP = Maximum Available Permissions, không cấp quyền

5. Monitoring – Detection – Investigation

Nhận diện trong đề	Câu thần chú
Ai GetObject/PutObject/DeleteObject	CloudTrail Data Events
Lưu log, query sau incident	S3 + Athena
Phân tích + trực quan hóa ALB access logs	S3 + Athena + QuickSight
Tìm kiếm log, dashboard, Security Analytics	OpenSearch Service
Cảnh báo khi resource vi phạm Config Rule	Config + EventBridge + SNS
Tự archive findings khớp điều kiện	GuardDuty Suppression Rule
Điều tra EC2 nghi đào coin	Process details + DNS queries + VPC Flow Logs
Lambda không ghi log	Execution Role thiếu quyền CloudWatch Logs
Đánh giá workload theo Security Pillar	Well-Architected Tool

6. Incident Response – Remediation

Nhận diện trong đề	Câu thần chú
Bảo toàn chứng cứ trước điều tra EC2	Snapshot + Termination Protection
Tự động xử lý + cập nhật stakeholder	EventBridge + SSM Automation + SNS / OpsCenter
Điều tra hoạt động đáng ngờ	GuardDuty + CloudTrail + VPC Flow Logs
CVE trên EC2/ECR/Lambda	Amazon Inspector
PII trong S3	Amazon Macie
Quét lỗ hổng container	ECR Enhanced Scanning + Inspector
Kiểm thử lỗi thật, dừng thí nghiệm khi cần	AWS Fault Injection Service (stop conditions)

7. CloudFormation – IaC Security

Nhận diện trong đề	Câu thần chú
Kiểm tra template trước deploy	Policy-as-Code = CloudFormation Guard
Nhiều template, tạo rule ban đầu nhanh	Guard rule generation (`cfn-guard rulegen`) từ template compliant
Kiểm tra trong CI/CD nhanh + báo developer	Guard + SNS
Chỉ launch AMI/phần mềm đã duyệt	Service Catalog
Triển khai stack nhiều account	CloudFormation StackSets

8. Đề hỏi về… → chọn

Đề hỏi về	Chọn
Nhân viên truy cập tập trung nhiều account	IAM Identity Center
Workload ngoài AWS cần temporary credentials	IAM Roles Anywhere
GitHub/GitLab OIDC assume IAM Role	IAM OIDC Federation
API token lưu rẻ, mã hóa	SSM Parameter Store SecureString
Secret cần automatic rotation	Secrets Manager
External resource access analysis	IAM Access Analyzer
Điều tra mối quan hệ, hành vi đáng ngờ	Detective
Query log bằng SQL	Athena
Log search và visualization	OpenSearch
Workload architecture best practices	Well-Architected Tool

⇄

Sơ đồ Workflow

Đã ôn

Thuộc luồng là trả lời được câu Ordering và câu "vì sao vẫn AccessDenied". Đọc từ trái sang phải, nhãn trên mũi tên là hành động/API.

Người dùng / AppDịch vụ AWSPolicy / kiểm tra quyềnKết quả tốtBị chặn / rủi ro

🔑 KMS & mã hóa

1. Envelope Encryption – Mã hóa

App

GenerateDataKey→

KMSdùng KMS key

trả về 2 bản→

Plaintext data key+ Encrypted data key

mã hóa dữ liệu→

Dữ liệu đã mã hóa

xóa plaintext key→

Lưu: dữ liệu mã hóa+ encrypted data key

💡 KMS key không bao giờ rời KMS. Dữ liệu > 4 KB bắt buộc dùng envelope. Nhớ: "Xin chìa → Khóa két → Vứt chìa trần → Cất chìa đã khóa cạnh két".

2. Envelope Encryption – Giải mã

Appđọc encrypted data key

kms:Decrypt→

KMSkiểm tra Key Policy

trả plaintext key→

Plaintext data key

giải mã→

Dữ liệu gốc

💡 Bị AccessDenied ở bước này = thiếu kms:Decrypt trong Key Policy/IAM, không phải lỗi S3/EBS.

3. S3 SSE-KMS – GetObject

User / Role

s3:GetObject→

gọi kms:Decrypt thay user→

KMS kiểm traKey Policy + IAM kms:Decrypt
kms:ViaService = s3

OK→

Trả object

💡 Cần cả 2 quyền: s3:GetObject + kms:Decrypt. Ghi (PutObject) cần kms:GenerateDataKey. Nhiều object → bật S3 Bucket Key giảm số lần gọi KMS.

4. Cross-account KMS

Account Achủ key (CMK)

Key Policy Allow account B→

Account BIAM policy: kms:Decrypt
trên ARN key của A

gọi bằng key ARN→

User/Role B dùng key

💡 2 phía đều phải cho phép. Gọi bằng key ARN (alias không dùng cross-account). AWS managed key (aws/s3, aws/ebs) không share được → dùng CMK. Cấp tạm → Grant.

5. KMS quyết định cho phép thế nào

Có Deny ở Key Policy / IAM / SCP / VPC Endpoint Policy?

DENY

Key Policy cho phép trực tiếp principal đó?

ALLOW (không cần IAM)

Key Policy cho phép account root (arn:aws:iam::ACCOUNT:root)?

→ xét tiếp IAM policy

IAM policy của principal có Allow action trên key?

ALLOW

Có Grant cho principal với operation đó?

ALLOW (dùng Grant Token nếu vừa tạo)

✓

Không có gì cho phép → Implicit Deny. Ghi nhớ: Key Policy là cửa chính, IAM chỉ có tác dụng khi Key Policy "mở cửa cho account".

ALLOW

💡 Câu "IAM Allow nhưng vẫn AccessDenied với KMS" → gần như luôn do Key Policy.

6. Vòng đời KMS key

Enabled

DisableKey→

DisabledEnableKey để bật lại

ScheduleKeyDeletion→

PendingDeletionchờ 7–30 ngày

hết hạn→

Deletedmất vĩnh viễn

💡 CancelKeyDeletion → key về trạng thái Disabled (phải Enable lại). Multi-Region key: xóa Replica trước, Primary sau. Muốn ngưng ngay mà an toàn → Disable.

7. Xoay vòng key (Rotation)

Auto rotationCMK symmetric
90–2560 ngày

tạo backing key mới→

Key ID/ARN giữ nguyênkey cũ giữ lại để giải mã

Manual rotationimported / asymmetric /
custom key store

tạo key mới→

Trỏ Alias sang key mới

giữ key cũ→

App không đổi codevì gọi bằng alias

💡 Auto = tự động, cùng ARN. Manual = key mới + alias. Imported key material không auto-rotate.

8. Secrets Manager rotation (Lambda 4 bước) Bổ sung

createSecrettạo version AWSPENDING

→

setSecretđổi mật khẩu trong DB

→

testSecretthử đăng nhập bằng PENDING

→

finishSecretPENDING → AWSCURRENT

💡 Nhớ: Create – Set – Test – Finish. Lambda ở VPC private cần endpoint Secrets Manager hoặc NAT để gọi API.

9. EBS / RDS mã hóa dữ liệu cũ Bổ sung

Volume / DB chưa mã hóa

snapshot→

Snapshot

copy + bật mã hóa (CMK)→

Snapshot mã hóa

restore / tạo volume→

Resource đã mã hóa

💡 Không bật mã hóa trực tiếp được cho RDS/EBS đang chạy. Share cho account khác → phải dùng CMK + Key Policy cho account nhận.

👤 IAM & Federation

10. IAM Policy Evaluation – thứ tự quyết định

Có Explicit Deny ở bất kỳ policy nào?

DENY

SCP (và RCP) của Organization có Allow?

Không → DENY

Resource-based policy Allow principal (cùng account)?

ALLOW

Identity-based policy có Allow?

Không → DENY

Permissions Boundary có Allow?

Không → DENY

Session Policy (nếu có) có Allow?

Không → DENY

✓

Qua hết các cửa → được phép. Cross-account: cần Allow ở cả hai phía (identity policy bên gọi + resource/trust policy bên nhận).

ALLOW

💡 Nhớ: "Deny thắng tất cả – SCP là trần – Boundary là trần – Identity mới là cấp".

11. Cross-account AssumeRole

User/Role ở Aidentity policy:
sts:AssumeRole

AssumeRole (+ExternalId)→

STS

kiểm tra→

Trust Policycủa Role ở B

trả temp creds→

AccessKey + Secret+ SessionToken

gọi API→

Resource ở Btheo permission policy

💡 Role luôn nằm ở account chứa resource. Bên thứ ba → ExternalId. Role chaining tối đa 1 giờ.

12. IAM Identity Center + External IdP

Entra ID / Okta

SCIM: đồng bộ user/group→

IAM Identity Center

Nhân viên

đăng nhập→

IdP xác thực

SAML assertion→

Identity CenterUser Portal

chọn account→

Permission Set→ role AWSReservedSSO

→

Resource trong account

💡 SCIM = Sync, SAML = Sign in. Permission Set + Group + Account = Account Assignment.

13. Cognito – App mobile/web

End user

đăng nhập→

Cognito User Pooltrả JWT tokens

đổi token→

Cognito Identity Pool

AssumeRoleWithWebIdentity→

Temp AWS creds

→

S3 / DynamoDB

💡 User Pool = đăng nhập (ai là ai). Identity Pool = chìa khóa AWS. Chỉ gọi API Gateway → dùng JWT + Cognito authorizer, không cần Identity Pool.

14. GitHub Actions / OIDC → AWS Bổ sung

GitHub Actions

OIDC token→

STSAssumeRoleWithWebIdentity

kiểm tra→

Trust PolicyIdP token.actions.githubusercontent.com
condition sub = repo:org/repo

→

Temp creds để deploy

💡 Không lưu access key trong CI. Máy on-prem có cert X.509 → Roles Anywhere thay vì OIDC.

🚨 Detection → Response

15. Phát hiện → tự động xử lý

GuardDuty / Security HubInspector / Config / Macie

finding = event→

EventBridge ruleevent pattern lọc

target→

Lambda / SSM Automation/ Step Functions

+ báo→

SNS → email / Slack

💡 Nhiều account: bật dịch vụ + delegated admin ở Security account, EventBridge đặt ở account đó.

16. Cảnh báo theo API (CloudTrail)

API callvd: root login

→

CloudTrail

→

CloudWatch Logs

Metric Filter→

Metric

ngưỡng→

Alarm

→

SNS

💡 Cách nhanh hơn: CloudTrail → EventBridge rule → SNS (real-time, không cần metric).

17. Config – phát hiện & tự sửa

Resource thay đổi

ghi config item→

AWS Config

evaluate→

Config Rule

NON_COMPLIANT→

RemediationSSM Automation

→

COMPLIANT

💡 Cảnh báo gần real-time: Config → EventBridge → SNS. Toàn org: Aggregator + Conformance Packs.

18. EC2 bị compromise (forensic)

GuardDuty finding

→

Termination protection+ metadata

cô lập→

Isolation SGdetach ASG, deregister ELB

volatile→

SSM Run Commanddump RAM/process

non-volatile→

EBS Snapshot + tag

→

Forensic EC2account/VPC riêng

💡 Không stop/terminate. Cần cắt cả connection đang mở → NACL Deny thay vì SG.

🌐 Network & Edge

19. Kiến trúc web nhiều lớp bảo vệ

User

DNS→

Route 53

→

CloudFrontACM us-east-1, WAF,
Shield, Geo Restriction

OAC→

S3bucket policy chỉ CloudFront

CloudFront

custom header→

ALBSG: prefix list CloudFront

SG source = sgLB→

EC2 Web

SG source = sgWeb→

Databaseprivate subnet, không route 0.0.0.0/0

💡 Mỗi lớp chỉ nhận traffic từ lớp ngay trước nó, qua SG tham chiếu SG.

20. EC2 private gọi dịch vụ AWS

EC2 private subnet

route table→

Gateway EndpointS3 / DynamoDB

endpoint policy→

Bucket Policyaws:SourceVpce

→

EC2 private subnet

Private DNS→

Interface EndpointKMS, STS, Secrets,
ssm, ssmmessages, ec2messages

SG 443→

Dịch vụ AWSkhông cần NAT/IGW

💡 Session Manager lỗi → thiếu endpoint ssmmessages hoặc role AmazonSSMManagedInstanceCore.

🧯 Incident Response tự động

21. Access key bị lộ – tự động xử lý Bổ sung

Key lộ trên GitHub

AWS quét & báo→

AWS HealthAWS_RISK_CREDENTIALS_EXPOSED

event→

EventBridge

→

Step Functions / Lambdadeactivate key, deny policy

tra CloudTrail→

SNS báo + điều tra

💡 AWS cũng tự gắn policy AWSCompromisedKeyQuarantineV2 cho user bị lộ key. Thứ tự tay: Deactivate → Replace → Update → Revoke → Delete.

22. Revoke session của IAM Role Bổ sung

Temp creds bị đánh cắp

Revoke active sessions→

Inline policy AWSRevokeOlderSessionsDeny nếu aws:TokenIssueTime < thời điểm revoke

→

Creds cũ bị chặn

app lấy creds mới→

Creds mới hoạt động

💡 Không xóa role (app sẽ chết). Với EC2: thay đổi này áp ngay, instance profile tự lấy creds mới.

23. Bucket bị public ngoài ý muốn Bổ sung

Bucket policy public

phân tích→

IAM Access Analyzerfinding external access

event→

EventBridge

→

Lambdabật Block Public Access

→

SNS báo

💡 Phòng trước: S3 Block Public Access cấp account + SCP chặn tắt BPA. Config rule s3-bucket-public-read-prohibited cũng phát hiện được.

24. Phát hiện lỗ hổng → tự vá Bổ sung

Inspector findingCVE trên EC2

event→

EventBridge

→

SSM Patch Manager/ Automation runbook

quét lại→

Finding tự đóng

💡 Inspector chỉ phát hiện. Vá OS → Patch Manager (patch baseline + maintenance window). Container → build lại image.

25. Macie – xử lý dữ liệu nhạy cảm Bổ sung

Macieautomated discovery / job

finding→

EventBridge

→

Lambdatag / chuyển object
vào bucket cách ly

→

Security Hub + SNS

💡 Macie chỉ quét S3. Dữ liệu tùy chỉnh (mã nhân viên…) → custom data identifier (regex).

26. Điều tra bằng Detective Bổ sung

GuardDuty finding

Investigate in Detective→

Detectivebehavior graph

dữ liệu→

CloudTrail + VPC Flow Logs+ EKS audit + GuardDuty

→

Root cause, phạm vi ảnh hưởng

💡 Detective tự thu thập dữ liệu, bạn không cần bật Flow Logs riêng. Cần GuardDuty bật trước.

🏢 Multi-account & Logging tập trung

27. Logging tập trung toàn Organization Bổ sung

Member accounts

Org Trail / Config / VPC Flow Logs→

Log Archive accountS3 bucket

bảo vệ→

Object Lock + KMS CMKbucket policy aws:SourceOrgID

phân tích→

Athena / Security Lake / OpenSearch

💡 Member account không sửa/xóa được Org Trail. Tách Log Archive và Security (Audit) account = separation of duties.

28. Amazon Security Lake Bổ sung

Nguồn logCloudTrail, VPC Flow, Route 53,
Security Hub, bên thứ ba

chuẩn hóa OCSF→

Security LakeS3 + Lake Formation

subscriber→

Athena / OpenSearch / SIEM

💡 Từ khóa: OCSF, data lake bảo mật, nhiều account/Region, chia sẻ cho SIEM bên thứ ba.

29. Control Tower – tạo account mới Bổ sung

Yêu cầu account

→

Account Factory

đặt vào OU→

ControlsPreventive SCP · Detective Config ·
Proactive CFN Hooks

baseline→

Account sẵn sàngCloudTrail, Config bật sẵn

💡 Tùy biến baseline cho account mới → Customizations for Control Tower (CfCT) hoặc Account Factory Customization.

30. Delegated Administrator Bổ sung

Management Account

Security Account

auto-enable→

Mọi member accountGuardDuty / Security Hub /
Inspector / Macie / Detective

findings→

Tập trung ở Security Account

💡 Không chạy công cụ bảo mật hằng ngày trong Management Account (least privilege).

🛡 Network, Edge & ứng dụng

31. WAF logging & phân tích Bổ sung

AWS WAF

log→

Firehosetên bắt đầu aws-waf-logs-

→

Partition Projection→

Athena / QuickSight

💡 Đích log WAF: CloudWatch Logs, S3, Firehose. Tên log group/bucket/stream phải có tiền tố aws-waf-logs-.

32. Kiểm tra traffic tập trung (Inspection VPC) Bổ sung

Spoke VPCs

TGW route→

Transit Gatewayappliance mode

→

Inspection VPCNetwork Firewall / GWLB + appliance

→

NAT GW

→

Internet

💡 Egress tập trung lọc domain → Network Firewall. Appliance bên thứ ba → Gateway Load Balancer.

33. Chống DDoS với Shield Advanced Bổ sung

DDoS L3/L4/L7

→

CloudFront / Route 53 / ALB+ Shield Advanced

phát hiện→

Shield Response Teamproactive engagement

tạo rule→

WAF rate-based + cost protection

💡 Shield Advanced: SRT 24/7, bảo vệ chi phí khi scale do tấn công, cần Route 53 health check cho proactive engagement.

34. CloudFront Signed URL / Cookie Bổ sung

User đăng nhập app

→

Backendký URL bằng private key
(key group)

trả signed URL→

Trình duyệt

→

CloudFrontverify public key

OAC→

S3 private

💡 Một file → Signed URL. Nhiều file / cả thư mục → Signed Cookie. Dùng trusted key group, không dùng root key pair.

35. Session Manager có ghi log Bổ sung

Admin

ssm:StartSession→

IAM policygiới hạn theo tag instance

→

Session Manager

→

EC2 (SSM Agent)

ghi lại phiên→

S3 / CloudWatch Logsmã hóa KMS

💡 Không mở port 22, không bastion, không key pair. CloudTrail ghi lệnh StartSession.

36. Bảo vệ ứng dụng GenAI (Bedrock) Bổ sung

User prompt

→

App / API GW + WAF

kiểm tra input→

Bedrock Guardrailsprompt attack, PII, topic

VPC endpoint→

Foundation Model

kiểm tra output→

Trả lời an toàn+ invocation logging

💡 Guardrails lọc cả đầu vào lẫn đầu ra. IAM chỉ cho phép bedrock:InvokeModel trên model đã duyệt.

⚡

Fact nhanh hay ra đề

Đã ôn

Những con số, giới hạn và ngoại lệ đề hay dùng làm "đáp án bẫy". Bật 🙈 Tự kiểm tra để che cột phải.

KMS, mã hóa, chứng chỉ

Câu hỏi	Fact
Thời gian chờ xóa KMS key	7–30 ngày (mặc định 30)
Key Policy mặc định cho ai quyền?	Account root (cho phép IAM policy trong account có hiệu lực)
Giới hạn dữ liệu của `kms:Encrypt` trực tiếp	4 KB → lớn hơn dùng envelope encryption
KMS báo ThrottlingException khi nhiều request	Bật S3 Bucket Key / data key caching (Encryption SDK) / xin tăng quota
Cert ACM cho CloudFront	us-east-1; ALB/API GW regional → cert cùng Region
Export được cert public của ACM?	Không; cert từ Private CA thì export được
CloudHSM high availability	Cluster ≥ 2 HSM ở 2 AZ khác nhau
S3 mã hóa mặc định object mới	SSE-S3 (từ 01/2023)
Snapshot của EBS đã mã hóa	Luôn được mã hóa; volume tạo từ đó cũng mã hóa
Lambda environment variables chứa secret	Mặc định mã hóa KMS, nhưng nên dùng Secrets Manager

S3 & lưu trữ bất biến

Câu hỏi	Fact
Bật Object Lock cần gì?	Bucket phải bật Versioning
Legal Hold khác retention?	Legal Hold không có ngày hết hạn, gỡ bằng tay
Ai bật được MFA Delete?	Chỉ root, qua CLI/API (không qua console)
Glacier Vault Lock	InitiateVaultLock → có 24 giờ để test rồi CompleteVaultLock; sau đó không đổi được
Presigned URL sống tối đa	7 ngày (SigV4, IAM user); bị giới hạn bởi thời hạn của credentials ký
Tắt hoàn toàn ACL S3	Object Ownership = Bucket owner enforced
Bucket policy Deny mọi người, root tự khóa mình	Chỉ root user xóa được bucket policy đó
GuardDuty S3 Protection cần bật CloudTrail data events?	Không, GuardDuty tự đọc luồng riêng

IAM & STS

Câu hỏi	Fact
Thời hạn phiên AssumeRole	Mặc định 1 giờ, tối đa 12 giờ (theo max session của role)
Role chaining	Tối đa 1 giờ
GetSessionToken (IAM user + MFA)	15 phút – 36 giờ (mặc định 12 giờ)
Tác vụ chỉ root làm được	Đổi cài đặt account, đóng account, đổi support plan, bật MFA Delete, khôi phục quyền IAM admin, gỡ bucket policy tự khóa
SCP có áp lên Management Account?	Không
SCP có áp lên service-linked role?	Không
Access Analyzer "zone of trust"	Account hoặc Organization; ngoài zone = external access
Mất key pair SSH EC2 Linux	Dùng SSM Session Manager / EC2 Instance Connect (push key tạm 60 giây)

Logging & Detection

Câu hỏi	Fact
CloudTrail Event history giữ bao lâu?	90 ngày (management events); lâu hơn → Trail ra S3 / CloudTrail Lake
CloudTrail data events bật mặc định?	Không (có tính phí)
Log File Validation tạo digest khi nào?	Mỗi giờ (SHA-256 + chữ ký số)
VPC Flow Logs KHÔNG ghi gì?	Traffic tới Amazon DNS, 169.254.169.254 (metadata), 169.254.169.123 (time sync), DHCP, Windows license activation
Flow Logs có ghi payload?	Không → Traffic Mirroring
GuardDuty cần bạn bật Flow Logs/CloudTrail?	Không, đọc luồng độc lập
Finding GuardDuty / Security Hub giữ bao lâu?	90 ngày → giữ lâu hơn: export S3 qua EventBridge/Firehose
Bật Detective cần gì trước?	GuardDuty đã bật (khuyến nghị ≥ 48 giờ)
Inspector quét EC2 cần gì?	SSM Agent + instance được SSM quản lý (hoặc agentless scan)
Config có ngăn được thay đổi không?	Không, chỉ phát hiện (+ remediation); ngăn trước → SCP / Proactive control

Network

Câu hỏi	Fact
NACL đánh giá rule thế nào?	Theo số thứ tự nhỏ → lớn, khớp rule đầu tiên thì dừng
Ephemeral port cần mở ở NACL	1024–65535 chiều trả về
Số SG tối đa trên một ENI	5 (mặc định, tăng được tới 16)
Gateway Endpoint dùng từ on-prem / VPC peering?	Không → dùng Interface Endpoint
Traffic Mirroring source	ENI của instance (Nitro)
Site-to-Site VPN dùng giao thức gì?	IPsec, 2 tunnel mỗi kết nối
Direct Connect có mã hóa sẵn?	Không → VPN qua DX hoặc MACsec

Preventive vs Detective vs Responsive

Loại control	Mục đích	Dịch vụ
Preventive	Chặn trước khi xảy ra	SCP, RCP, IAM, Permissions Boundary, SG/NACL, WAF, Block Public Access, CFN Hooks
Detective	Phát hiện sau khi xảy ra	Config, GuardDuty, Security Hub, Inspector, Macie, CloudTrail, Access Analyzer
Responsive	Tự xử lý khi phát hiện	EventBridge + Lambda, SSM Automation, Config Remediation
Proactive	Kiểm tra trước khi deploy	cfn-guard, CloudFormation Hooks, Control Tower proactive controls

Mẹo: đề hỏi "prevent" → Preventive (SCP/IAM). Đề hỏi "detect / identify" → Config/GuardDuty. Đáp án dùng Config để "prevent" là sai.

Detection – Phát hiện

16%Đã ôn

Mỗi dịch vụ trả lời một câu hỏi khác nhau. Nhớ được câu hỏi là nhớ được dịch vụ.

Dịch vụ nào trả lời câu hỏi nào

Từ khóa trong đề	Dịch vụ
Threat detection, compromised credentials, crypto mining, malicious IP, suspicious activity	GuardDuty
Runtime threats trong ECS/EKS/EC2 (process, file, network trong OS)	GuardDuty Runtime Monitoring
Lạm dụng Kubernetes API (EKS audit logs)	GuardDuty EKS Protection
Quét malware trên EBS khi có finding / file upload lên S3 Bổ sung	GuardDuty Malware Protection (for EC2 / for S3)
Chuỗi tấn công nhiều bước, gộp nhiều finding thành 1 "attack sequence" Bổ sung	GuardDuty Extended Threat Detection
Lỗ hổng phần mềm (CVE), network reachability, EC2/ECR/Lambda, continuous	Amazon Inspector
Security posture, standards (CIS, FSBP, PCI), centralized findings, dashboard	Security Hub
PII / sensitive data trong S3	Macie
Investigate, root cause, visualize mối liên hệ	Detective
Configuration compliance, configuration history	AWS Config
Ai bên ngoài truy cập được resource, quyền không dùng	IAM Access Analyzer
Data lake log bảo mật tập trung, chuẩn hóa OCSF, nhiều account/Region Bổ sung	Amazon Security Lake
Kiểm tra best practice chung (cost, security, limit) Bổ sung	Trusted Advisor

Mẹo nhớ: GuardDuty = bảo vệ canh cửa (bắt kẻ trộm) · Inspector = thợ kiểm tra ổ khóa (lỗ hổng) · Macie = chó đánh hơi đồ quý (PII) · Detective = thám tử · Security Hub = phòng điều khiển · Config = camera ghi cấu hình.

GuardDuty – tình huống hay ra

Đề nói	Chọn
False positive đã biết, giảm noise	Suppression rule (Finding Type + API Caller IP)
IP nội bộ hợp lệ bị báo nhầm	Trusted IP List (file plaintext trên S3)
Chỉ muốn báo khi gặp IP xấu riêng của mình Bổ sung	Threat IP List
Chặn domain / DNS query xấu	Route 53 Resolver DNS Firewall
Nhiều account, tập trung	Delegated administrator + auto-enable cho account mới
VPC dùng AmazonProvidedDNS	GuardDuty đọc được DNS logs
VPC dùng custom DNS (AD on-prem)	GuardDuty không thấy DNS logs
Tắt detector để hết false positive	Gần như luôn SAI

"GuardDuty liên tục báo finding từ IP NAT egress của công ty, muốn giảm nhiễu mà vẫn giám sát." → Suppression rule với Finding Type + API Caller IP.

Inspector & ECR scanning

Basic scanning (ECR): scan on push + thủ công, chỉ lỗ hổng OS.
Enhanced scanning (Inspector): OS + package ngôn ngữ lập trình + continuous (tự quét lại khi có CVE mới).
Kết hợp continuous + scan on push, loại trừ repo bằng filter.
Inspector quét Lambda (package + code scanning) và xuất SBOM. Bổ sung
Inspector EC2 cần SSM Agent (hoặc agentless scan qua snapshot EBS). Bổ sung
Inspector tìm và tạo finding, KHÔNG tự vá → vá bằng SSM Patch Manager.
Sửa ghi chú cũ viết "ECS basic scanning" → đúng là ECR.

"Quét ECR continuous + on-push, bỏ vài repo, xem findings trên dashboard tập trung có thể thêm nguồn khác." → Inspector + Security Hub.

Security Hub

Cần AWS Config bật trước để chạy security controls. Sửa GuardDuty không bắt buộc, nhưng nên bật để đẩy finding về.
Custom Action = Create → Connect → Click: tạo Custom Action → EventBridge rule nối Lambda → chọn action trên finding.
Automation rules: tự đổi severity, suppress, gắn note cho finding khớp điều kiện. Bổ sung
Cross-Region aggregation + central configuration trong Organization. Bổ sung
Insights: nhóm findings để điều tra.
Định dạng chung của finding: ASFF. Bổ sung

Pattern phản ứng tự động (thuộc lòng)

GuardDuty / Security Hub / Config / CloudTrail→EventBridge rule (lọc)→Lambda (tự sửa)+SNS (email)

Finding là sự kiện → EventBridge là bộ lọc → SNS là người đưa thư. EventBridge = CloudWatch Events cũ.

"Bảo vệ nhiều production account, tập trung threat findings, tự động phản ứng." → GuardDuty mọi account + delegated admin ở Security Account + EventBridge → Lambda → SNS.

Các pattern detection khác

Yêu cầu	Giải pháp
ACM certificate sắp hết hạn	Metric `DaysToExpiry` / sự kiện ACM trên EventBridge → Lambda + SNS (+ Security Hub)
S3 object bị public → báo ngay → tự sửa	CloudTrail data events + EventBridge / S3 Event Notifications → Lambda sửa ACL + SNS
EKS + audit log + threat OS/network/file	GuardDuty EKS Protection + Runtime Monitoring → EventBridge → SNS
Phát hiện + điều tra root cause	GuardDuty + Detective
Access key bị lộ public (AWS tự quét GitHub) Bổ sung	Sự kiện AWS Health `AWS_RISK_CREDENTIALS_EXPOSED` → EventBridge → Lambda vô hiệu key
Truy vấn cấu hình toàn tổ chức bằng SQL Bổ sung	Config Advanced Query + Aggregator

Incident Response – Ứng cứu sự cố

14%Đã ôn

Nguyên tắc vàng: Preserve (bảo toàn) → Quarantine (cô lập) → Rotate (thay credentials). Không xóa hay terminate trước khi lấy bằng chứng.

Bảng phản ứng nhanh

Sự cố	Hành động đầu tiên
IAM User access key bị lộ	Deactivate key (+ Credential Report rà soát)
Temporary credentials của IAM Role trên EC2 bị đánh cắp	Revoke active sessions (policy `AWSRevokeOlderSessions`, Deny theo `aws:TokenIssueTime`)
EC2 bị xâm nhập	Isolation Security Group (không rule)
EC2 cần cô lập NGAY, vẫn chạy để giữ RAM, cắt cả connection đang mở	NACL mới explicit Deny in/out gắn vào subnet
S3 đang bị exfiltration	Bucket Policy explicit Deny `s3:GetObject`
Chặn 1 user/role cụ thể	IAM Policy Deny
Chặn truy cập qua VPC Endpoint	VPC Endpoint Policy
PII bị lộ / cần tìm	Macie
Email từ AWS EC2 Abuse Team	Phản hồi AWS + cô lập EC2
User IAM Identity Center bị compromise, ảnh hưởng mọi account	Disable user trong Identity Center + điều tra 7 ngày bằng CloudTrail Lake (organizational event data store)
RDS bị xóa/sửa dữ liệu	PITR – restore về 1 phút trước khi bị tấn công
Lambda bị chèn mã độc Bổ sung	Đặt reserved concurrency = 0 (dừng chạy) + gỡ quyền execution role + điều tra version/code
Root user bị compromise Bổ sung	Đổi mật khẩu root, bật/đổi MFA, xóa root access keys, kiểm tra IAM user/role lạ
Ransomware xóa/mã hóa object S3 Bổ sung	Phòng trước: Versioning + MFA Delete + Object Lock; khôi phục từ version cũ

Mẹo: SG là stateful, connection đang được track có thể vẫn sống. Đề nhấn "ngay lập tức, cắt hết" → nghĩ đến NACL (stateless).

Quy trình EC2 bị compromise (forensic)

Thu thập metadata instance (ID, IP, tag, AMI…)
Bật termination protection
Cô lập: Isolation SG, detach khỏi ASG, deregister khỏi ELB
Lấy volatile data (RAM, process) bằng SSM Run Command, không stop
Lấy non-volatile data: EBS snapshot + tag
Dựng Forensic EC2 trong VPC/account cách ly, attach volume từ snapshot

Thứ tự: "Giữ – Khóa – Chụp RAM – Chụp đĩa – Mổ xẻ".

Quy trình Access Key bị lộ (5 bước)

Deactivate access key bị lộ
Create access key mới
Update ứng dụng dùng key mới
Revoke temporary STS credentials của user
Delete console password nếu bị lộ

Mẹo: Deactivate → Replace → Update → Revoke → Delete ("Đóng – Thay – Cập – Thu – Xóa").

Case đặc biệt

Cả AWS Account bị compromise: Check Bill (tài nguyên lạ) → Scan Secrets → Rotate Keys. Tổng quát: Preserve + Quarantine + Rotate.
Quên mật khẩu Windows (EC2Launch v2): Stop → Detach root volume → Attach vào instance khác → xóa .run-once → Reattach → Start → Retrieve password.
KMS key PendingDeletion: còn cứu được bằng CancelKeyDeletion (cửa sổ 7–30 ngày).
EBS mã hóa bằng key sắp bị xóa/disable: volume còn attach thì EC2 vẫn đọc được (data key đã nạp) → copy dữ liệu sang key mới trước khi detach.
CloudTrail bị tắt: Config rule + auto-remediation để tự bật lại; ngăn trước bằng SCP Deny cloudtrail:StopLogging/DeleteTrail. Bổ sung
Chia sẻ snapshot cho forensic account: snapshot mã hóa bằng key mặc định aws/ebs không share được → copy snapshot với Customer Managed Key rồi share key + snapshot. Bổ sung
Chuẩn bị trước: role IR dựng sẵn (break-glass), forensic account riêng, runbook bằng SSM Automation / Incident Manager. Bổ sung

"EC2 trong ASG nhiễm malware, cần giữ bằng chứng bộ nhớ." → KHÔNG terminate/stop. Detach ASG + deregister ELB + isolation SG → SSM lấy RAM → snapshot EBS.

📜

Logging & Monitoring

trong D1 & D2Đã ôn

Chọn log theo loại dữ liệu đề cần: API → CloudTrail · IP/port → Flow Logs · nội dung gói tin → Traffic Mirroring.

Nguồn log nào ghi gì

Cần biết	Nguồn log
Ai gọi API gì, lúc nào	CloudTrail (management events)
Đọc/ghi object S3, invoke Lambda	CloudTrail Data Events
DNS query	Route 53 Resolver Query Logging
IP, port, ACCEPT/REJECT	VPC Flow Logs
Payload, IDS/IPS	VPC Traffic Mirroring
HTTP request qua WAF	WAF logs → Firehose/S3/CloudWatch
Request vào ALB / S3 / CloudFront Bổ sung	ELB access logs / S3 server access logs / CloudFront logs
API Gateway access pattern	Access Logging + CloudWatch Logs Insights
API Gateway hiệu năng	Detailed CloudWatch Metrics
Log trong OS EC2	CloudWatch Agent
Hoạt động bất thường của API (tăng đột biến) Bổ sung	CloudTrail Insights

Lưu & phân tích log

Yêu cầu	Chọn
Lưu rẻ + SQL khi cần	S3 + Athena
Search + visualize + correlate liên tục	OpenSearch
Nhiều nguồn + detection rules + alert real-time	OpenSearch Security Analytics
Metrics + alarm vận hành	CloudWatch
Query lịch sử API toàn Organization	CloudTrail Lake
WAF log phân tích SQL	WAF → Firehose → S3 → Athena (+ Partition Projection)
Gom log về account Log Archive	Organization Trail + S3 bucket policy cho phép org

Pattern hay ra

Cảnh báo khi có API cụ thể (root login…): CloudTrail→CloudWatch Logs→Metric Filter→Alarm→SNS
Real-time API/Console activity: CloudTrail + EventBridge + SNS.
1 account nhiều Region: Multi-Region Trail · nhiều account: Organization Trail.
Log làm bằng chứng: S3 Object Lock (chống xóa) + CloudTrail Log File Validation (kiểm tra toàn vẹn, SHA-256 digest).
Log EC2 trong ASG lưu nhiều năm: CloudWatch Agent → quyền trên IAM Role (instance profile) của EC2 → đặt retention Log Group (hoặc export S3 Glacier). Sửa quyền gắn vào role của EC2, không phải "IAM ASG".
Lambda ghi log: logs:CreateLogGroup + logs:CreateLogStream + logs:PutLogEvents.
Mã hóa log group bằng KMS: key policy phải cho phép principal logs.<region>.amazonaws.com. Bổ sung
Config vs CloudTrail: Config = cấu hình là gì; CloudTrail = ai đã đổi.

"Cần kiểm tra payload để phát hiện xâm nhập bằng IDS bên thứ ba." → VPC Traffic Mirroring (Flow Logs không có payload).

Infrastructure Security

18%Đã ôn

Hai trục cần nhớ: đi đường nào (endpoint, kết nối) và chặn ở đâu (SG, NACL, Network Firewall, WAF, Shield).

Private subnet đi đâu, dùng gì

Đích	Giải pháp
S3, DynamoDB	Gateway Endpoint (miễn phí, route table)
KMS, STS, Secrets Manager, SSM, API GW…	Interface Endpoint (PrivateLink, ENI + SG)
Service riêng ở VPC/account khác	PrivateLink (NLB + Endpoint Service)
Internet	NAT Gateway (đặt ở public subnet)
VPC ↔ VPC	VPC Peering / Transit Gateway
On-prem ↔ AWS	VPN / Direct Connect
Nhiều VPC + on-prem	TGW + Direct Connect Gateway
S3 từ on-prem qua DX/VPN Bổ sung	Interface Endpoint cho S3 (Gateway endpoint không dùng được từ on-prem)

Mẹo: chỉ S3 và DynamoDB có Gateway Endpoint, còn lại là Interface.

Lớp tường lửa – chặn ở tầng nào

Yêu cầu	Công cụ
Allow theo port/IP ở instance	Security Group (stateful)
Deny IP ở subnet	NACL (stateless)
Lọc egress theo domain, IPS, Suricata, L3–L7 cho cả VPC Bổ sung	AWS Network Firewall
Chặn DNS query đến domain xấu	Route 53 Resolver DNS Firewall
SQLi, XSS, rate limit HTTP	AWS WAF
DDoS L3/L4 cơ bản, miễn phí Bổ sung	Shield Standard
DDoS nâng cao, DRT, bảo vệ chi phí	Shield Advanced + WAF
Quản lý tất cả ở trên cho nhiều account	Firewall Manager

Security Group vs NACL

	Security Group	NACL
Cấp	ENI / instance	Subnet
Trạng thái	Stateful	Stateless (mở 2 chiều + ephemeral port 1024–65535)
Rule	Chỉ Allow	Allow + Deny, đánh số, khớp số nhỏ trước
Mặc định	Inbound chặn, outbound mở	Default NACL mở hết

EC2 → DB cùng VPC: DB SG inbound Source = SG của EC2.
Peering cùng Region: tham chiếu SG ID được · khác Region: dùng CIDR.
Peering không thông: kiểm tra SG + route table cả hai bên.
PrivateLink + NLB không kết nối: kiểm tra SG + NACL.
EFS: SG mở TCP 2049 + IAM ClientMount/ClientRead.
EC2 làm NAT/firewall: tắt Source/Destination Check.

Bảo vệ EC2 / compute

IMDSv2 bắt buộc (HttpTokens=required) chống SSRF lấy credentials; SCP/IAM condition ec2:MetadataHttpTokens. Bổ sung
Nhiều user trên cùng EC2, cấm user thường lấy metadata: iptables chặn 169.254.169.254 theo user.
SSM Session Manager thay SSH/bastion: không mở port 22, log phiên ra S3/CloudWatch.
EC2 private dùng SSM: Interface Endpoint ssm, ssmmessages, ec2messages + role AmazonSSMManagedInstanceCore. Lỗi session → kiểm tra ssmmessages.
SSM Patch Manager: vá OS theo lịch · EC2 Image Builder: AMI chuẩn đã vá.
Nitro Enclaves: môi trường cách ly xử lý dữ liệu siêu nhạy cảm, attestation với KMS. Bổ sung
Verified Access: truy cập app nội bộ không cần VPN (zero trust). Bổ sung

Encryption trên đường truyền

Yêu cầu	Chọn
Low latency + IPsec	Direct Connect + Site-to-Site VPN
Direct Connect, mã hóa Layer 2	MACsec
HTTPS terminate tại LB	HTTPS → ALB (ACM cert) → HTTP → EC2
mTLS / end-to-end TLS đến EC2	NLB TCP passthrough → EC2 tự xử lý TLS (ALB cũng hỗ trợ mTLS)
Bắt buộc HTTPS vào S3 Bổ sung	Bucket Policy Deny khi `aws:SecureTransport = false`
Bắt buộc TLS 1.2+ ở ALB/CloudFront Bổ sung	Chọn security policy TLS phù hợp; CloudFront Viewer Protocol Policy = Redirect/HTTPS only
Mã hóa riêng trường nhạy cảm (thẻ tín dụng) ở edge Bổ sung	CloudFront Field-Level Encryption
SES API bắt buộc TLS	Configuration Set + TlsPolicy = REQUIRE
Chống giả mạo DNS Bổ sung	Route 53 DNSSEC (KMS asymmetric key ở us-east-1)

WAF, CloudFront, Shield

Đề nói	Chọn
Chỉ chặn theo quốc gia	CloudFront Geo Restriction
Chặn quốc gia + điều kiện khác + logging	WAF Geo Match
Điều hướng theo quốc gia	Route 53 Geolocation
SQLi, app cũ, 24h, không sửa code	Đưa app sau ALB + WAF SQLi managed rules, đổi DNS Route 53
Chặn IP gửi quá nhiều request Bổ sung	WAF rate-based rule
Chặn bot / account takeover Bổ sung	WAF Bot Control / ATP managed rules
S3 qua CloudFront, cấm truy cập thẳng S3	OAC (Origin Access Control)
Giới hạn ai xem, trong bao lâu	Signed URL / Signed Cookie
ALB chỉ nhận traffic từ CloudFront Bổ sung	SG dùng managed prefix list CloudFront + custom header bí mật kiểm tra ở ALB/WAF
Forward Authorization header, dùng trong cache key	Cache Policy
Forward header/cookie/query nhưng KHÔNG vào cache key	Origin Request Policy
Cognito Hosted UI: kiểm tra sign-up + lọc quốc gia	Lambda Pre Sign-up + WAF Geo Match

WAF gắn được vào: ALB, CloudFront, API Gateway, AppSync, Cognito User Pool (và App Runner, Verified Access). Không gắn vào NLB hay EC2.

API Gateway

Whitelist IP: Resource Policy Deny + NotIpAddress + aws:SourceIp.
Private API cross-account: Interface Endpoint execute-api + SG 443 + Private DNS + Resource Policy Allow aws:SourceVpce.
Bật Private DNS → domain mặc định của API Gateway trỏ về IP private (gọi public API từ VPC đó có thể lỗi).
VPC Endpoint Policy cho API Gateway → action execute-api:Invoke.
Xác thực: Cognito User Pool authorizer, Lambda authorizer, IAM (SigV4).
Throttling + usage plan + API key để giới hạn tần suất (API key không phải cơ chế xác thực). Bổ sung

Bảo vệ ứng dụng Generative AI Bổ sung

Exam guide SCS-C03 có kỹ năng 3.2.7: triển khai lớp bảo vệ và guardrails cho ứng dụng GenAI.

Amazon Bedrock Guardrails: lọc nội dung độc hại, chặn chủ đề, che/chặn PII, phát hiện prompt attack (prompt injection/jailbreak).
Gọi Bedrock qua Interface VPC Endpoint (PrivateLink) để không ra internet.
IAM least privilege theo model (bedrock:InvokeModel trên ARN model cụ thể); SCP chặn model chưa duyệt.
Model invocation logging → CloudWatch/S3; API call → CloudTrail.
Dữ liệu knowledge base trên S3 mã hóa KMS, quét bằng Macie; đặt WAF trước API của ứng dụng chat.

"Chỉ cho phép EC2 trong VPC A đọc bucket S3." → Gateway Endpoint + Bucket Policy Deny khi aws:SourceVpce ≠ endpoint ID.

Identity & Access Management

20% · nặng nhấtĐã ôn

Câu hỏi then chốt: "ai" cần vào? Nhân viên, khách hàng, máy, dịch vụ AWS hay account khác. Mỗi loại có một cách cấp quyền riêng.

Ai cần truy cập → dùng gì

Ai / tình huống	Giải pháp
Nhân viên vào nhiều AWS account (SSO)	IAM Identity Center (Permission Sets)
Nhân viên + IdP ngoài (Entra ID, Okta) + tự đồng bộ user	Identity Center + SAML (đăng nhập) + SCIM (đồng bộ)
IAM User + MFA dùng CLI	STS GetSessionToken
Cross-account / chuyển sang role	STS AssumeRole
SAML 2.0 trực tiếp vào IAM	AssumeRoleWithSAML
OIDC / web identity (GitHub Actions…)	AssumeRoleWithWebIdentity
User của app (đăng ký/đăng nhập)	Cognito User Pool
App mobile cần AWS temporary credentials	Cognito Identity Pool + IAM Role
EC2 gọi S3/DynamoDB/KMS	IAM Role + Instance Profile
Lambda / ECS Task	Execution Role / Task Role
EKS Pod	IRSA / EKS Pod Identity
Máy ngoài AWS có X.509 certificate	IAM Roles Anywhere
Bên thứ ba (vendor) vào account mình Bổ sung	Role + Trust Policy có ExternalId (chống confused deputy)
Phân quyền chi tiết bên trong ứng dụng Bổ sung	Amazon Verified Permissions (ngôn ngữ Cedar)
IoT giả mạo Client ID	Thing Name làm Client ID + `${iot:Connection.Thing.ThingName}`

Mẹo: SAML = Sign in · SCIM = Sync · "certificate-based" = Roles Anywhere · "temporary credentials" = STS · "employee + multi-account" = Identity Center.

IAM Identity Center

User→Group→Permission Set→Account→Resource

Đăng nhập qua User Portal, không cần IAM User ở từng account.
Permission Set thực chất tạo IAM Role (AWSReservedSSO_…) trong từng account. Bổ sung
Permission Set dùng Customer Managed Policy → policy phải tồn tại ở mọi account được gán, cùng tên và path.
Quản trị ngoài Management Account → Delegated Administration.
App nội bộ dùng SSO → AWS managed application trong Identity Center.
ABAC: truyền thuộc tính user (department…) làm session tag. Bổ sung

Cross-account – "3 cái gật đầu"

Account A (nguồn): identity policy cho phép sts:AssumeRole
Account B (đích): Trust Policy của role tin A
Role ở B: Permission policy quy định làm được gì

Role luôn nằm ở account chứa tài nguyên. Dev muốn vào Production → tạo role trong Production, trust account Dev.

Truy cập bằng resource-based policy cross-account: cần cả 2 phía cho phép (resource policy ở B + IAM policy ở A). Bổ sung
Role chaining (role → role) tối đa phiên 1 giờ. Bổ sung

Các loại policy

Policy	Ai quản lý	Dùng để
Identity-based	IAM Admin	Cấp quyền cho User/Group/Role
Permissions Boundary	Security Team	Trần quyền tối đa của User/Role
SCP	Org Admin	Trần quyền của principal trong account (không cấp quyền)
RCP (Resource Control Policy) Bổ sung	Org Admin	Trần quyền trên resource toàn org (S3, STS, KMS, SQS, Secrets Manager…), ví dụ chặn mọi principal ngoài org
Resource-based	Chủ resource	Cấp quyền trực tiếp trên resource (S3, KMS, SQS, Lambda…)
Session Policy	Người gọi AssumeRole	Thu hẹp quyền một phiên
Trust Policy	Người tạo Role	Ai được AssumeRole
ACL	Chủ resource	Cơ chế cũ của S3; tắt bằng Object Ownership = BucketOwnerEnforced
VPC Endpoint Policy	Network/Security	Giới hạn traffic qua endpoint

Quy tắc đánh giá: Explicit Deny > Allow > Implicit Deny. Quyền thực tế = giao của SCP ∩ RCP ∩ Boundary ∩ Identity (∩ Session). Lưu ý: SCP không áp lên Management Account.

Permissions Boundary

Developer tự tạo IAM Role nhưng không vượt quyền → Permissions Boundary.
Chống leo thang đặc quyền → bắt buộc boundary khi iam:CreateRole (condition iam:PermissionsBoundary) + Deny xóa/sửa boundary.
Account đơn lẻ (không Organizations) cần guardrail → Boundary, không phải SCP.
Hàng trăm account, quản role theo team → dùng IAM path (/teamA/) + Deny thao tác role ngoài path.

Bảo mật user & root Bổ sung

Root: bật MFA, không tạo access key, chỉ dùng cho tác vụ bắt buộc root (đổi support plan, đóng account…).
Credential Report: trạng thái mật khẩu/key/MFA của mọi user.
Access Advisor / last accessed: dịch vụ nào chưa từng dùng → thu hẹp quyền.
Bắt MFA cho API: condition aws:MultiFactorAuthPresent.
Cognito advanced security: adaptive authentication, phát hiện mật khẩu đã lộ.

Cú pháp & condition key

Từ khóa	Nghĩa
`Action` / `NotAction`	Hành động bị tác động / tất cả TRỪ danh sách
`Resource` / `NotResource`	Tài nguyên bị tác động / tất cả TRỪ danh sách
`Condition`	Khi nào áp dụng

Giới hạn theo	Key
IP public	`aws:SourceIp`
VPC / VPC Endpoint	`aws:SourceVpc` / `aws:SourceVpce`
Role/User cụ thể	`aws:PrincipalArn`
Chỉ principal trong Organization Bổ sung	`aws:PrincipalOrgID`
Service gọi thay mình (confused deputy) Bổ sung	`aws:SourceArn` / `aws:SourceAccount`
ABAC theo tag Bổ sung	`aws:PrincipalTag` = `aws:ResourceTag`
Region	`aws:RequestedRegion`
Chỉ dùng KMS qua service	`kms:ViaService`
Thời điểm cấp token	`aws:TokenIssueTime`
Lambda URL không xác thực	`lambda:FunctionUrlAuthType` = NONE

Muốn cấm cấu hình nào → Deny khi Condition khớp cấu hình đó.
• Cấm Lambda URL không xác thực → Deny lambda:CreateFunctionUrlConfig khi FunctionUrlAuthType = NONE
• Cấm Region → Deny khi aws:RequestedRegion thuộc Region cấm
• Cấm EBS không mã hóa → Deny ec2:CreateVolume khi ec2:Encrypted = false

SAML certificate xoay vòng

IdP đổi certificate → lỗi InvalidIdentityToken/metadata mismatch → Update IAM SAML Identity Provider bằng metadata mới (update-saml-provider).
SAML Metadata = hồ sơ · IAM SAML Identity Provider = nơi AWS lưu hồ sơ.

CloudFormation Service Role

Developer→CloudFormation→assume Service Role→tạo resource

Developer chỉ cần quyền CloudFormation + iam:PassRole.
Trust: principal cloudformation.amazonaws.com + sts:AssumeRole.

IAM Access Analyzer

External access: ai bên ngoài vào được?Internal access: principal nào bên trong vào được?Unused access: quyền/role/key không dùng?Policy validation & generation từ CloudTrail Bổ sung

"Nhân viên dùng Entra ID, cần vào 50 account, tự tạo/xóa user khi nghỉ việc." → IAM Identity Center + SAML + SCIM + Permission Sets.

Data Protection

18%Đã ôn

Trọng tâm là KMS: ai được dùng key (Key Policy, Grant), key ở đâu (Multi-Region, CloudHSM), xoay vòng, cứu hoặc xóa key thế nào.

Loại KMS key Bổ sung

Loại	Đặc điểm
AWS owned	AWS dùng chung, bạn không thấy
AWS managed (`aws/s3`, `aws/ebs`)	Không sửa key policy, không share cross-account, tự xoay hằng năm
Customer managed (CMK)	Toàn quyền policy, grant, rotation, share cross-account
Imported key material (BYOK)	Có thể đặt ngày hết hạn, xóa key material ngay; không auto-rotate
Custom key store (CloudHSM / External XKS)	Key nằm ở HSM của bạn; không auto-rotate, không Multi-Region

S3 encryption

Loại	Khi nào chọn
SSE-S3	Mặc định, đơn giản, mỗi object 1 key riêng
SSE-KMS	Cần phân quyền + audit CloudTrail + kiểm soát key
DSSE-KMS Bổ sung	Compliance yêu cầu mã hóa 2 lớp
SSE-C Bổ sung	Bạn gửi key mỗi request, AWS không lưu key
Client-side Bổ sung	Mã hóa trước khi gửi (AWS Encryption SDK)

Đọc object SSE-KMS cần cả s3:GetObject + kms:Decrypt.
S3 Bucket Key giảm số lần gọi KMS → giảm chi phí và lỗi throttling. Bổ sung

KMS – quyền truy cập

Cơ chế	Vai trò
Key Policy	Bắt buộc phải có; quyết định ai quản lý/dùng key
IAM Policy	Chỉ có hiệu lực khi Key Policy cho phép account (statement root)
KMS Grant	Quyền tạm thời, cho principal cụ thể, thu hồi được (RetireGrant/RevokeGrant)
Grant Token	Dùng grant ngay sau CreateGrant (tránh AccessDenied do eventual consistency)
`kms:ViaService`	Chỉ cho dùng key qua service chỉ định
Encryption context Bổ sung	Cặp key–value thêm vào khi mã hóa, dùng làm condition và ghi trong CloudTrail

Cross-account KMS: Key Policy ở account chủ cho phép account B + IAM policy ở B cho user/role (hoặc dùng Grant). Phải là Customer Managed Key.
Người tạo key không mặc định có quyền, nhưng ai có kms:CreateKey có thể tự cấp quyền qua initial key policy.
Envelope encryption: GenerateDataKey → dữ liệu mã hóa bằng data key, data key mã hóa bằng KMS key. Dữ liệu > 4 KB phải dùng cách này. Bổ sung

KMS – vòng đời key

Rotation tự động (CMK symmetric): mặc định 365 ngày, chỉnh được 90–2560 ngày, có rotate on-demand; key ID/ARN giữ nguyên, dữ liệu cũ vẫn giải mã được. Bổ sung
Imported/asymmetric/custom key store → xoay thủ công: tạo key mới + trỏ alias sang. Bổ sung
Xóa key → PendingDeletion 7–30 ngày → CancelKeyDeletion được. Muốn ngưng ngay mà an toàn → Disable key.
Key mrk- (Multi-Region) → xóa mọi Replica trước, Primary sau.
Cảnh báo khi có người dùng key đang chờ xóa → CloudTrail + metric filter/EventBridge.

Mã hóa dịch vụ khác Bổ sung

RDS chưa mã hóa → không bật trực tiếp được: snapshot → copy snapshot có mã hóa → restore.
EBS encryption by default: bật theo từng Region.
Share AMI/snapshot mã hóa cross-account → dùng CMK + key policy cho account nhận.
DynamoDB luôn mã hóa at rest (AWS owned / managed / CMK).
Secrets Manager cross-account: resource policy trên secret + secret mã hóa bằng CMK (không dùng được aws/secretsmanager).

Secrets Manager vs Parameter Store Bổ sung

	Secrets Manager	Parameter Store
Rotation tự động	Có (Lambda; RDS/Redshift có sẵn)	Không
Replicate Region	Có	Không
Chi phí	Tính theo secret	Standard miễn phí
Dùng khi	Mật khẩu DB, API key cần xoay	Config, SecureString đơn giản

Hardcode mật khẩu trong code → chuyển sang Secrets Manager + rotation.

Multi-Region, Backup & DR

Từ khóa đề	Đáp án
S3 CRR + cùng key nhiều Region	KMS Multi-Region Key + CRR
Multi-Region + KMS + Secrets Manager	Multi-Region CMK + Secrets Manager Replication
DynamoDB backup định kỳ, lưu lâu	AWS Backup (ngày cố định → cron, chu kỳ → rate)
Backup không ai xóa được, kể cả root Bổ sung	AWS Backup Vault Lock (compliance mode) + copy sang account khác
RDS về đúng thời điểm	PITR
Server on-prem, RTO < 1h, replicate liên tục, rẻ	Elastic Disaster Recovery (DRS)

RPO quyết định tần suất backup. CloudFormation dựng lại hạ tầng, AWS Backup khôi phục dữ liệu.

CloudHSM vs KMS

	KMS	CloudHSM
Tenancy	Multi-tenant, managed	Single-tenant, bạn quản key
Chuẩn	FIPS 140-3 L3	FIPS 140-3 L3, toàn quyền HSM
Tích hợp AWS	Hầu hết dịch vụ	Qua Custom Key Store, hoặc app tự gọi (PKCS#11, JCE)
Dùng khi	Mặc định	Compliance "key chỉ mình kiểm soát", SSL offload, TDE Oracle

CloudHSM ở account A, client ở account B → RAM share subnet + SG cho phép IP private.

ACM & bảo vệ dữ liệu S3

CloudFront bắt buộc cert ở us-east-1.
1 cert: primary + nhiều alternate domain (SAN); DNS validation → auto-renew.
Cert import vào ACM không tự gia hạn. Bổ sung
Cert nội bộ / mTLS / IoT → AWS Private CA. Bổ sung
Object Lock: Governance (user có quyền đặc biệt vẫn xóa được) vs Compliance (không ai xóa được, kể cả root) + Legal Hold. Bổ sung
Glacier Vault Lock: khóa policy WORM cho vault. Bổ sung
Block Public Access (cấp account/org) + Macie tìm PII + Presigned URL chia sẻ tạm thời.

"Lambda đọc S3 bị AccessDenied, bucket dùng SSE-KMS, role đã có s3:GetObject." → Thêm kms:Decrypt vào role và kiểm tra Key Policy.

Security Foundations & Governance

14%Đã ôn

Domain này hỏi cách quản trị nhiều account cùng lúc: chặn (SCP/RCP), triển khai (StackSets), kiểm tra (Config), chia sẻ (RAM, Service Catalog).

Organizations & multi-account

Đề nói	Chọn
Dựng landing zone nhiều account có sẵn guardrail Bổ sung	AWS Control Tower (Account Factory, Log Archive + Audit account)
Giới hạn quyền tối đa của account	SCP (không cấp quyền, không áp lên Management Account)
Chặn principal ngoài org truy cập resource của org Bổ sung	RCP + `aws:PrincipalOrgID`
Chuẩn hóa giá trị tag	Tag Policy
Bắt buộc có tag, chặn launch nếu thiếu	SCP (Deny khi `aws:RequestTag` null) + Tag Policy
Triển khai template ra nhiều account/Region	CloudFormation StackSets
WAF/SG/Shield/Network Firewall tập trung, tự áp cho resource mới	Firewall Manager
Quản trị 1 dịch vụ bảo mật từ account riêng	Delegated Administrator (do Management Account chỉ định)
Chính sách backup toàn org Bổ sung	Backup Policies (Organizations) + AWS Backup

Control Tower guardrails (controls): Preventive = SCP · Detective = Config rules · Proactive = CloudFormation Hooks (chặn trước khi tạo). Bổ sung

Chia sẻ: RAM vs Service Catalog vs STS

RAM: share resource đã tồn tại (subnet, TGW, Resolver rule…).
Service Catalog: share template/product đã duyệt để user tự deploy (IAM phê duyệt → Portfolio chứa product). Launch constraint = role dùng để deploy, user không cần quyền trực tiếp. Bổ sung
STS: cấp credentials tạm thời.

Mẹo: RAM = đồ vật · Catalog = khuôn mẫu · STS = chìa khóa tạm.

AWS Config

Thành phần	Vai trò
Config Rules	Kiểm tra compliant (managed / custom Lambda / Guard)
Conformance Packs	Bộ rule đóng gói, nhân bản ra nhiều account
Aggregator	Gom dữ liệu Config về một nơi
Remediation (SSM Automation)	Tự sửa resource NON_COMPLIANT
User Notifications	Báo khi thay đổi/vi phạm

Chuỗi cung ứng phần mềm Bổ sung

EC2 Image Builder: build, test, phân phối AMI chuẩn. Sửa ghi chú cũ viết "IAM chuẩn".
cfn-guard: viết rule, validate template CloudFormation trước khi deploy.
Lambda code signing (AWS Signer): chỉ chạy code đã ký.
Ký container image (AWS Signer + Notation) và kiểm tra trước khi deploy.
Inspector SBOM export + CodeGuru Security quét code.

Compliance, resilience & chi phí

Mục tiêu	Dịch vụ
Tải báo cáo SOC/PCI/ISO của AWS Bổ sung	AWS Artifact
Chứng minh compliance, thu evidence	Audit Manager
Đánh giá kiến trúc, resilience	Well-Architected Tool
Thử kịch bản lỗi	Fault Injection Service
Cảnh báo vượt ngân sách/ngưỡng	AWS Budgets
ML phát hiện chi phí bất thường	Cost Anomaly Detection
Lịch sử, xu hướng chi phí	Cost Explorer
Xuất dữ liệu cost & usage	AWS Data Exports

Shared Responsibility Model Bổ sung

AWS: bảo mật của cloud (phần cứng, hypervisor, data center)Khách hàng: bảo mật trong cloud (IAM, dữ liệu, OS của EC2, SG, mã hóa)Managed service (RDS, Lambda): AWS lo OS/patch nền, bạn lo quyền + dữ liệu

"Mọi ALB hiện tại và tương lai trong Organization phải có WAF rule chuẩn." → Firewall Manager (StackSets không tự áp cho resource tạo sau).

⚖

Cặp dễ nhầm

Đã ôn

Phần lớn câu sai là do lẫn 2 dịch vụ gần giống nhau. Đọc bảng này trước giờ thi.

Cặp	Phân biệt một câu
GuardDuty vs Inspector	Đang bị tấn công vs có lỗ hổng chưa vá
GuardDuty vs Detective	Phát hiện vs điều tra nguyên nhân
Security Hub vs Security Lake	Tổng hợp findings/posture vs data lake log thô chuẩn OCSF
Security Hub vs Config	Tổng hợp findings vs kiểm tra & lịch sử cấu hình
Config vs CloudTrail	Cấu hình là gì vs ai đã gọi API
Flow Logs vs Traffic Mirroring	Metadata (IP/port) vs nội dung gói tin
SG vs NACL	Stateful, chỉ Allow vs stateless, có Deny
Network Firewall vs WAF	Cả VPC, L3–L7, lọc domain egress vs HTTP(S) trên ALB/CloudFront/API GW
DNS Firewall vs Network Firewall	Chỉ DNS query vs toàn bộ traffic
SCP vs Permissions Boundary	Trần cho account (cần Organizations) vs trần cho user/role
SCP vs RCP	Giới hạn principal vs giới hạn resource
Gateway vs Interface Endpoint	Chỉ S3/DynamoDB, miễn phí vs các service còn lại, có phí, có SG
Cognito User Pool vs Identity Pool	Đăng nhập app vs cấp AWS credentials
Identity Center vs Roles Anywhere	Người (nhân viên) vs máy ngoài AWS có cert X.509
GetSessionToken vs AssumeRole	MFA cho chính IAM user vs đổi sang role khác
SSE-S3 vs SSE-KMS	Đơn giản vs có phân quyền + audit key
AWS managed key vs CMK	Không sửa policy, không share vs toàn quyền, share được
KMS Grant vs Key Policy	Quyền tạm thời, cụ thể vs quyền nền tảng của key
KMS vs CloudHSM	Managed multi-tenant vs single-tenant tự quản
Secrets Manager vs Parameter Store	Có rotation tự động vs không
Object Lock Governance vs Compliance	Có quyền đặc biệt vẫn xóa được vs không ai xóa được
CloudFront Geo Restriction vs WAF Geo Match	Chỉ chặn quốc gia vs quốc gia + điều kiện khác
Route 53 Geolocation vs Geo Restriction	Điều hướng vs chặn
Cache Policy vs Origin Request Policy	Vào cache key vs chỉ forward đến origin
OAC vs Signed URL	Cấm bypass CloudFront vào S3 vs giới hạn ai xem, bao lâu
StackSets vs Firewall Manager	Deploy template vs enforce policy bảo mật (cả resource mới)
Control Tower vs Organizations	Landing zone + guardrails dựng sẵn vs nền tảng gom account + SCP
RAM vs Service Catalog	Share resource có sẵn vs share template để tự deploy
Budgets vs Cost Anomaly Detection	Ngưỡng cố định vs ML phát hiện bất thường
Audit Manager vs Artifact	Thu evidence của bạn vs báo cáo compliance của AWS
Trusted IP List vs Suppression Rule	IP tin cậy (không sinh finding) vs ẩn finding theo điều kiện
Isolation SG vs NACL Deny	Cô lập 1 instance vs cắt ngay cả connection đang mở ở cấp subnet
Disable vs Schedule deletion KMS key	Tạm ngưng, bật lại được vs chờ 7–30 ngày rồi mất vĩnh viễn

⚠

Bẫy đề & mẹo làm bài

Đã ôn

Đáp án gần như luôn SAI

Terminate/stop EC2 khi cần forensic → mất RAM, mất bằng chứng.
Xóa access key ngay → đúng là deactivate trước.
Tắt GuardDuty detector để hết false positive.
"SCP cấp quyền" → SCP chỉ giới hạn.
"Inspector tự vá" → vá bằng SSM Patch Manager.
Dùng IAM User + access key cho EC2/Lambda → dùng Role.
Tự viết Lambda/cron script khi đã có tính năng native.
Chia sẻ snapshot mã hóa bằng aws/ebs cho account khác.
Gắn WAF vào NLB.

Dấu hiệu nhận biết nhanh

Có quyền S3 nhưng AccessDenied với bucket SSE-KMS → thiếu kms:Decrypt / Key Policy.
GuardDuty không thấy DNS finding → VPC dùng custom DNS resolver.
"Least operational overhead" → dịch vụ managed sẵn có.
"No code changes" → giải pháp hạ tầng (WAF, ALB, CloudFront, Secrets Manager rotation).
"Temporary" → STS / Grant / Presigned URL.
"Across Organization / future accounts" → delegated admin + auto-enable / Firewall Manager / Control Tower.
"Immutable / WORM / tamper-proof" → Object Lock Compliance, Vault Lock, Log File Validation.
"Root cause" → Detective · "Who changed" → CloudTrail · "What changed" → Config.

Mẹo làm bài SCS-C03

Có 4 dạng câu: Single, Multiple response, Ordering (sắp xếp 3–5 bước), Matching (ghép 3–7 cặp). Ordering và Matching phải đúng toàn bộ mới được điểm → thuộc 2 quy trình IR và bảng "Cặp dễ nhầm".
65 câu, 170 phút → khoảng 2,6 phút/câu. Đọc câu hỏi cuối trước, rồi mới đọc kịch bản.
Loại trừ trước các đáp án vi phạm nguyên tắc (xóa bằng chứng, dùng long-term credentials, mở 0.0.0.0/0).
Không bỏ trống: câu chưa trả lời tính là sai, đoán không bị trừ điểm.
Chấm điểm bù trừ: chỉ cần tổng đạt 750, không cần đậu từng domain.

Từ vựng English hay ra trong đề

Đã ôn

Cột thứ ba là gợi ý: gặp từ đó trong đề thì thường nghĩ đến dịch vụ/hướng nào. Bật 🙈 Tự kiểm tra để che cột nghĩa.

Từ trong ghi chú của bạn

English	Nghĩa	Gặp trong đề → nghĩ đến
remediation	khắc phục (thường là tự động sửa)	Config Remediation, SSM Automation, Lambda
several	một vài (số nhiều)	Đáp án chọn nhiều
organization-wide	toàn tổ chức	Organizations, Org Trail, delegated admin
restrict	hạn chế	SCP, policy Deny, Condition
suspicious	khả nghi	GuardDuty, Detective
exfiltration Sửa	đánh cắp/rò rỉ dữ liệu ra ngoài (thường qua download), không chỉ là "download"	Bucket Policy Deny, GuardDuty S3 Protection, Macie
compliance	tuân thủ	Config, Audit Manager, Security Hub
compromised	bị xâm phạm	Incident Response
immediately	ngay lập tức	Hành động nhanh nhất: Deactivate key, NACL Deny
investigate Sửa	điều tra (tìm nguyên nhân)	Detective, Athena, CloudTrail Lake
inspect Sửa	kiểm tra kỹ, xem xét chi tiết	Inspector, packet inspection
isolate	cô lập	Isolation SG, NACL
features	tính năng, đặc điểm
finance	tài chính	Team finance → Budgets, Cost Explorer
implement	triển khai, thực hiện
mechanism	cơ chế
preserve volatile data	giữ dữ liệu dễ mất khi tắt/khởi động lại (RAM, process, kết nối mạng)	SSM Run Command, không stop EC2
preserve non-volatile data	giữ dữ liệu trên ổ đĩa, lưu trữ	EBS Snapshot
strengthen the security posture	tăng cường mức độ sẵn sàng bảo mật	Security Hub, standards
suppression rule Sửa	quy tắc ẩn bớt (tự archive) finding, không phải "đàn áp"	GuardDuty
separation of duties	phân tách trách nhiệm	Key admin ≠ key user, account riêng, role riêng
separate	riêng biệt	Account/VPC riêng
intimated = notified	được thông báo	SNS
efficient	hiệu quả, đơn giản, ít công sức	Managed service
anomaly	bất thường	Cost Anomaly Detection, CloudTrail Insights
initiative	sáng kiến, chương trình
loophole	kẽ hở
potentially	có khả năng
destinations	điểm đến	Log destination: S3, CloudWatch, Firehose
regularly	thường xuyên, định kỳ	Schedule: cron / rate
without the need to parse the log files	không cần tự đọc/phân tích file log	Tính năng có sẵn: Logs Insights, metrics, Athena
workloads are resilient to disruption	workload chịu được gián đoạn	Fault Injection Service, Well-Architected, Backup

Từ hay gặp khác Bổ sung

English	Nghĩa	Gặp trong đề → nghĩ đến
least privilege	quyền tối thiểu	Chỉ cấp đúng action/resource cần
least operational overhead	ít công vận hành nhất	Managed service, không tự viết script
cost-effective	tiết kiệm chi phí	Parameter Store, S3 + Athena
mitigate	giảm thiểu	WAF, Shield
revoke	thu hồi	Revoke sessions, RevokeGrant
rotate	xoay vòng, thay mới định kỳ	Secrets Manager, KMS rotation
enforce	bắt buộc áp dụng	SCP, Firewall Manager, Config
granular / fine-grained	chi tiết, ở mức nhỏ	SSE-KMS, IAM condition
centralized	tập trung	Delegated admin, Security Hub, Org Trail
tamper / tamper-proof	sửa trái phép / chống sửa	Object Lock, Log File Validation
immutable	không thể thay đổi	WORM, Object Lock Compliance
retention	thời gian lưu giữ	Log Group retention, Backup plan
at rest / in transit	khi lưu trữ / khi truyền	KMS / TLS
ephemeral	tạm thời, ngắn hạn	Ephemeral port (NACL), temporary credentials
provision	cấp phát, tạo	SCIM provisioning
ingress / egress	chiều vào / chiều ra	SG, NACL, Network Firewall
breach	vi phạm, rò rỉ dữ liệu	Incident Response
mandatory / mandate	bắt buộc	SCP + Tag Policy
audit trail	dấu vết kiểm toán	CloudTrail
unauthorized	trái phép	GuardDuty, Access Analyzer
inadvertent / accidental	vô tình	Block Public Access, Deny guardrail
legitimate	hợp lệ	Trusted IP List, Suppression rule
throttle	giới hạn tốc độ	API Gateway, WAF rate-based
propagate	lan truyền (cần thời gian)	KMS Grant Token
quarantine	cách ly	Isolation SG, forensic VPC
forensic	điều tra số (pháp y)	Snapshot, Forensic EC2
root cause	nguyên nhân gốc	Detective
unintended public access	bị public ngoài ý muốn	Access Analyzer, Block Public Access
third-party	bên thứ ba	ExternalId
on-premises	hạ tầng tại chỗ (ngoài AWS)	VPN, Direct Connect, Roles Anywhere
auditor	kiểm toán viên	Audit Manager, Artifact, role read-only
adhere to	tuân theo	Compliance
brute force	dò mật khẩu liên tục	GuardDuty, WAF, Cognito advanced security
lateral movement	di chuyển ngang sang hệ thống khác	Isolation, segmentation

Từ khóa trong câu hỏi quyết định đáp án Bổ sung

Cụm từ trong đề	Nghĩa	Hướng chọn đáp án
MOST secure	an toàn nhất	Least privilege + mã hóa + không long-term credentials
MOST cost-effective	rẻ nhất mà vẫn đạt yêu cầu	Parameter Store, S3 + Athena, Gateway Endpoint
LEAST operational overhead / effort	ít công vận hành nhất	Managed service, tính năng native
LEAST privilege	quyền tối thiểu	Action/Resource cụ thể + Condition
in near real time	gần thời gian thực	EventBridge (không phải báo cáo định kỳ)
minimize downtime / without disruption	ít gián đoạn nhất	Không stop/terminate, không xóa role
retroactively	áp dụng hồi tố, cho cả cái đã có	Config evaluate resource cũ, Firewall Manager auto-remediate
proactively	chủ động, trước khi xảy ra	Preventive / proactive control
across all accounts / Regions	trên mọi account / Region	Organizations, delegated admin, StackSets
future accounts / newly created	account/resource tạo sau này	Auto-enable, Firewall Manager, Org Trail, Control Tower
out-of-the-box	có sẵn, không tùy biến	Managed rules, managed policies
ad hoc query	truy vấn khi cần, không định trước	Athena
at scale	quy mô lớn	Tự động hóa, tập trung
Choose TWO / THREE	chọn 2 / 3 đáp án	Mỗi đáp án thường là một mảnh của cùng kiến trúc

Thuật ngữ bảo mật nên biết Bổ sung

English	Nghĩa	Liên quan
preventive / detective control	kiểm soát ngăn chặn / phát hiện	SCP vs Config
guardrail	hàng rào an toàn	Control Tower controls, SCP
baseline	cấu hình chuẩn tối thiểu	Patch baseline, account baseline
drift	lệch khỏi cấu hình chuẩn	CloudFormation drift detection, Config
blast radius	phạm vi ảnh hưởng khi sự cố	Tách account, least privilege
privilege escalation	leo thang đặc quyền	Permissions Boundary, chặn iam:PassRole
long-lived / short-lived credentials	credentials dài hạn / tạm thời	Access key vs STS
chain of custody	chuỗi lưu giữ bằng chứng	Snapshot + tag + Object Lock
evidence / artifact	bằng chứng	Audit Manager, forensic
tamper-evident	phát hiện được nếu bị sửa	CloudTrail Log File Validation
integrity / confidentiality / availability	toàn vẹn / bảo mật / sẵn sàng (CIA)	Hash/ký số · mã hóa · DDoS, backup
non-repudiation	chống chối bỏ	Ký số, CloudTrail
plaintext / ciphertext	dữ liệu rõ / dữ liệu đã mã hóa	KMS
key material	phần bí mật của khóa	BYOK, CloudHSM
redact / mask / obfuscate	che, ẩn dữ liệu nhạy cảm	Macie, Bedrock Guardrails, CloudWatch data protection
tokenization	thay dữ liệu thật bằng token	Dữ liệu thẻ thanh toán
allowlist / denylist	danh sách cho phép / chặn	WAF IP set, Trusted IP List
bastion / jump host	máy trung gian để SSH vào	Thay bằng Session Manager
zero trust	không tin mặc định, luôn xác thực	Verified Access
supply chain	chuỗi cung ứng phần mềm	SBOM, code signing, ECR scan
decommission	ngừng sử dụng, gỡ bỏ	Xóa key/account đúng quy trình
legacy	hệ thống cũ	Không sửa code → giải pháp hạ tầng
opt-in Region	Region phải bật mới dùng được	SCP chặn Region
false positive / false negative	báo nhầm / bỏ sót	Suppression rule

Không tìm thấy nội dung khớp. Thử từ khóa khác.

AWS Security Specialty SCS-C03Sổ tay nhớ nhanh

Công thức đọc đề 3 bước

Câu thần chú SCS-C03

Cách nhận diện đáp án

15 câu ưu tiên học thuộc

1. IAM – Federation – STS

2. Secrets – KMS – Encryption

3. S3 – CloudFront – WAF – Network

4. Organizations – Governance

5. Monitoring – Detection – Investigation

6. Incident Response – Remediation

7. CloudFormation – IaC Security

8. Đề hỏi về… → chọn

Sơ đồ Workflow

🔑 KMS & mã hóa

1. Envelope Encryption – Mã hóa

2. Envelope Encryption – Giải mã

3. S3 SSE-KMS – GetObject

4. Cross-account KMS

5. KMS quyết định cho phép thế nào

6. Vòng đời KMS key

7. Xoay vòng key (Rotation)

8. Secrets Manager rotation (Lambda 4 bước) Bổ sung

9. EBS / RDS mã hóa dữ liệu cũ Bổ sung

👤 IAM & Federation

10. IAM Policy Evaluation – thứ tự quyết định

11. Cross-account AssumeRole

12. IAM Identity Center + External IdP

13. Cognito – App mobile/web

14. GitHub Actions / OIDC → AWS Bổ sung

🚨 Detection → Response

15. Phát hiện → tự động xử lý

16. Cảnh báo theo API (CloudTrail)

17. Config – phát hiện & tự sửa

18. EC2 bị compromise (forensic)

🌐 Network & Edge

19. Kiến trúc web nhiều lớp bảo vệ

20. EC2 private gọi dịch vụ AWS

🧯 Incident Response tự động

21. Access key bị lộ – tự động xử lý Bổ sung

22. Revoke session của IAM Role Bổ sung

23. Bucket bị public ngoài ý muốn Bổ sung

24. Phát hiện lỗ hổng → tự vá Bổ sung

25. Macie – xử lý dữ liệu nhạy cảm Bổ sung

26. Điều tra bằng Detective Bổ sung

🏢 Multi-account & Logging tập trung

27. Logging tập trung toàn Organization Bổ sung

28. Amazon Security Lake Bổ sung

29. Control Tower – tạo account mới Bổ sung

30. Delegated Administrator Bổ sung

🛡 Network, Edge & ứng dụng

31. WAF logging & phân tích Bổ sung

32. Kiểm tra traffic tập trung (Inspection VPC) Bổ sung

33. Chống DDoS với Shield Advanced Bổ sung

34. CloudFront Signed URL / Cookie Bổ sung

35. Session Manager có ghi log Bổ sung

36. Bảo vệ ứng dụng GenAI (Bedrock) Bổ sung

Fact nhanh hay ra đề

KMS, mã hóa, chứng chỉ

S3 & lưu trữ bất biến

IAM & STS

Logging & Detection

Network

Preventive vs Detective vs Responsive

Detection – Phát hiện

Dịch vụ nào trả lời câu hỏi nào

GuardDuty – tình huống hay ra

Inspector & ECR scanning

Security Hub

Pattern phản ứng tự động (thuộc lòng)

Các pattern detection khác

Incident Response – Ứng cứu sự cố

Bảng phản ứng nhanh

Quy trình EC2 bị compromise (forensic)

Quy trình Access Key bị lộ (5 bước)

Case đặc biệt

Logging & Monitoring

Nguồn log nào ghi gì

Lưu & phân tích log

Pattern hay ra

AWS Security Specialty SCS-C03
Sổ tay nhớ nhanh