AWS SCS-C03 备考知识点整理

如果说 SAA-C03 考的是「怎么把系统搭起来」（备考笔记见 AWS SAA-C03 备考知识点整理），SCS-C03 考的就是「怎么守住它」。安全专项几乎没有死记硬背的送分题，几乎全是场景判断：题干丢给你一个业务需求，让你从一票 AWS 服务里挑出唯一的正解。

好在我把 231 道题库翻来覆去刷了几遍后发现，出题人的偏好其实非常稳定：托管服务优先、组织级集中治理、可审计的不可变证据。抓住这三条主线，大部分题都能秒选。本文是刷题后的考点归纳，用于考前突击抓重点，不替代官方文档。

题库画像：它到底在考什么

先看统计。对 231 道题做全文关键词近似统计后，出现频次最高的服务及其典型答案模式如下：

频次为题库文本近似统计，用于判断「题库反复强调哪些服务」，不代表官方权重。

把这些数字读一遍，题库的三大倾向就浮出水面：

• 最少运维：凡是能交给 AWS 托管的（GuardDuty、Config、Macie、Inspector、Security Hub），绝不自写 Lambda 分析日志，除非题目明确要求自定义逻辑。
• 组织级集中治理：出现「所有现有和未来账户」基本就是 Organizations + 委派管理员 + StackSets/服务自动启用。
• 可审计 / 不可变证据：审计走 CloudTrail，网络流量走 Flow Logs，不可变落 S3 Object Lock 合规模式。

分域核心考点

Detection：检测、日志与告警

核心服务：CloudTrail、CloudWatch Logs、GuardDuty、Security Hub、Macie、Inspector、AWS Config、VPC Flow Logs。

高频考点：

• CloudTrail 是 AWS API 审计源：谁在什么时候从哪调用了什么 API。组织环境优先用 organization trail。
• CloudTrail 不记录普通网络流量：NTP、端口连接、东西向流量要看 VPC Flow Logs、Transit Gateway Flow Logs、Route 53 Resolver logs。
• CloudWatch Logs 管日志存储/查询/告警：Lambda 没有日志时，常见原因是执行角色缺 logs:CreateLogGroup、logs:CreateLogStream、logs:PutLogEvents。
• GuardDuty 是托管威胁检测：分析 CloudTrail、VPC DNS、Flow Logs、EKS 审计、RDS 登录等信号。
• Security Hub 是 findings 聚合与合规视图：不会替代 GuardDuty/Inspector/Macie 的检测。
• Macie 关注 S3 敏感数据发现；Inspector 关注漏洞扫描（EC2/ECR/Lambda）；Config 关注配置合规。

典型题型与答案：

Incident Response：事件响应与恢复

核心服务：CloudTrail、GuardDuty、IAM、STS、Systems Manager、Step Functions、Lambda、Detective、AWS Backup、AWS Elastic Disaster Recovery。

高频考点：

• 凭证泄露第一步是遏制访问：例如 GuardDuty 报 UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration，应先撤销实例配置文件角色会话/轮换凭证，而不是先改安全组或装代理。
• 取证证据先保全：保留 CloudTrail、CloudWatch Logs、VPC Flow Logs、磁盘快照。
• 根因分析用 Detective：对 GuardDuty finding 做图谱化调查。
• 自动化响应：EventBridge + Lambda / Step Functions / SSM Automation。
• 灾难恢复看 RPO/RTO：给出「1 小时 RPO」就要选满足该目标的备份频率或连续复制。

典型题型与答案：

Infrastructure Security：基础设施安全

核心服务：VPC、SG、NACL、Network Firewall、WAF、Shield Advanced、CloudFront、ALB、Route 53 Resolver DNS Firewall、Session Manager。

高频考点：

• WAF 管 L7 HTTP/HTTPS 请求：User-Agent、路径、Header、Rate-based rule、托管规则组。
• Shield Advanced 管 DDoS 增强防护：可联系 DDoS Response Team。
• CloudFront + ALB 防绕过：CloudFront 加自定义 Header，ALB/WAF 只允许带该 Header 的请求。
• SG 有状态、NACL 无状态：NACL 限制子网边界时注意返回流量。
• Session Manager 满足无入站端口远程运维：适合「SSH/RDP 不能暴露 + 需要审计」。

典型题型与答案：

Identity and Access Management：身份与访问管理

核心服务：IAM、STS、IAM Identity Center、Organizations SCP、Cognito、IAM Access Analyzer、Policy Simulator。

高频考点：

• IAM 策略评估顺序：显式 Deny 永远优先；Allow 需要身份策略、资源策略、权限边界、SCP、会话策略共同允许。
• 跨账户访问看两边：调用方身份策略允许 sts:AssumeRole，目标角色 trust policy 信任调用方。
• SCP 是组织级护栏：不授予权限，只限制成员账户最大可用权限。
• 区域限制 SCP 常见结构：Deny + NotAction 例外全局服务 + StringNotEquals aws:RequestedRegion。
• 临时凭证优先 STS：外部第三方用 ExternalId 防 confused deputy。
• IAM Identity Center 管企业员工 SSO；Cognito 管应用终端用户，两者不要混。

典型题型与答案：

Data Protection：数据保护与加密

核心服务：KMS、CloudHSM、S3、Object Lock、Secrets Manager、ACM、Private CA、AWS Backup、DataSync。

高频考点：

• KMS 是主线：key policy、grant、rotation、data key、asymmetric key、multi-Region key 都是重点。
• CloudHSM / KMS 自定义密钥存储：题目要求密钥材料在 CloudHSM HSM 边界内生成和使用时，选 KMS custom key store backed by CloudHSM。
• KMS Grant 用于临时/程序化授权：不要频繁改 key policy，也不要导出密钥材料。
• S3 Object Lock 合规模式用于 WORM：保留期内即使 root 也不能删除/修改；Lifecycle 不是不可变保护。
• 传输中加密用强制策略：bucket policy 拒绝 aws:SecureTransport=false，而不是只提醒客户端用 HTTPS。
• Secrets Manager 管密钥轮换：数据库凭证、API 密钥优先 Secrets Manager。

典型题型与答案：

Security Foundations and Governance：治理

核心服务：Organizations、Control Tower、CloudFormation StackSets、Config、Security Hub、Audit Manager、Artifact、Firewall Manager、RAM。

高频考点：

• Organizations 多账户集中治理是题库重点：出现「所有现有和未来账户」基本就是组织级能力。
• 避免使用管理账户做日常操作：优先注册 delegated administrator。
• StackSets 负责跨账户/跨区域一致部署：启用自动部署覆盖未来账户。
• Security Hub / GuardDuty / Macie / Inspector 可设置组织委派管理员。
• Config 做持续合规评估：managed rule、Conformance Packs、自动修复、聚合器。
• Firewall Manager 做组织级 WAF/Shield/Network Firewall 集中管理；Audit Manager / Artifact 偏审计证据和报告。

典型题型与答案：

高频场景「秒选」规则

把上面六个域压缩成一张表，考前扫一眼：

小结

1. 先背决策规则，再刷题：SCS-C03 本质是「需求关键词 → 正确 AWS 控制」的场景判断题。
2. 把检测、阻断、审计分开：GuardDuty 检测、WAF 阻断、CloudTrail 审计、S3 Object Lock 保全。
3. 多账户题优先 Organizations 视角：委派管理员、StackSets、组织跟踪、自动启用成员账户是高频组合。
4. KMS 掌握三层权限：IAM policy、key policy、grant，并理解 CloudHSM/custom key store 的边界。
5. S3 是综合高频服务：bucket policy、Object Lock、Block Public Access、Macie、预签名 URL 都要熟。
6. 看到「最少运维」先排除自建脚本：没有托管服务能满足需求时再考虑自定义方案。

祝顺利拿下 750+。