EnglishDeutschFrançaisEspañolPortuguês

AWS · SCS-C03 · Avançado

AWS Security - Specialty (SCS-C03) — Questões de prática e simulado

A AWS Certified Security – Specialty valida conhecimento avançado em proteção de workloads e arquiteturas na AWS.

Pratique grátisVer uma questão primeiro
Ver uma questão primeiroPratique grátis
Praticar para SCS-C03 gratuitamenteComprar acesso a SCS-C03 por US$ 29,99
65Perguntas por simulado do Pass-IT
170minTempo limite do simulado do Pass-IT

Exame oficial SCS-C03: 750 de 1000 pontos para passar.

Conferido com informações de AWS · setembro de 2026 · Versão atual do exame

Experimentar o Pass-IT

Veja como é aprender com o Pass-IT.

Responda a uma pergunta de exemplo de SCS-C03 e leia a explicação com a fonte. Aqui mesmo, sem cadastro.

Segurança de infraestrutura1 / 5

Uma empresa está migrando sua aplicação web on-premises para a AWS. A aplicação precisa ser protegida contra as ameaças do OWASP Top 10, incluindo injeção de SQL e cross-site scripting (XSS). O time de segurança quer uma solução gerenciada que exija o mínimo de manutenção de regras. Qual abordagem oferece a MELHOR proteção com o MENOR esforço operacional?

AlexExplicação completa do Alex

O AWS WAF com Managed Rules entrega conjuntos de regras pré-configurados que protegem contra as ameaças do OWASP Top 10 com manutenção mínima. O Core Rule Set (CRS) cobre vulnerabilidades web gerais, incluindo XSS e local file inclusion, enquanto o rule group SQL Database bloqueia especificamente ataques de injeção de SQL. Associar o WAF ao ALB faz com que o tráfego HTTP seja inspecionado antes de chegar à aplicação. O Network Firewall atua nas camadas 3-4 com regras Suricata — eficaz, mas exige manter regras personalizadas, o que aumenta o esforço operacional. O CloudFront com OAC controla o acesso ao origin, mas não inspeciona o payload das requisições em busca de ataques de injeção. Um WAF de terceiros no EC2 exige provisionamento, patching e gestão de regras — a maior carga operacional. Conceito-chave: as WAF Managed Rules são mantidas pela AWS, atualizadas automaticamente e feitas sob medida para a proteção OWASP (docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html).

Fontedocs.aws.amazon.com

Proteção de dados2 / 5

A política de segurança de uma empresa exige que todas as chaves de criptografia do AWS KMS usadas para dados de produção fiquem armazenadas em hardware security modules (HSMs) que a empresa controle fisicamente, sem deixar de usar a API do KMS para as operações de criptografia. Qual opção de key store do KMS atende a esse requisito?

AlexExplicação completa do Alex

Os external key stores (XKS) do KMS deixam você usar a API do KMS mantendo as chaves de criptografia em HSMs que você controla fisicamente fora da AWS. O XKS encaminha as operações criptográficas por um endpoint proxy do XKS até o seu key manager externo, atendendo a requisitos regulatórios de custódia física das chaves. O material de chave importado fica armazenado nos HSMs do AWS KMS depois da importação — você não mantém o controle físico durante as operações. O key store do CloudHSM usa clusters do AWS CloudHSM hospedados em data centers da AWS: você administra os HSMs, mas não controla fisicamente o hardware. As AWS managed keys são totalmente controladas pela AWS, sem acesso do cliente ao material de chave. Distinção principal: só o XKS oferece a API do KMS mantendo o material de chave inteiramente fora da infraestrutura da AWS e sob o seu controle físico (docs.aws.amazon.com/kms/latest/developerguide/concepts.html).

Fontedocs.aws.amazon.com

Gerenciamento de identidade e acesso3 / 5

Uma organização usa o AWS IAM Identity Center (sucessor do AWS SSO) para dar aos funcionários acesso a várias contas AWS. Qual protocolo de autenticação o IAM Identity Center usa para federar com provedores de identidade externos?

AlexExplicação completa do Alex

SAML 2.0 é a resposta correta. O IAM Identity Center usa assertions SAML 2.0 para federação com IdPs externos como Okta, Azure AD e Ping Identity. Ele também dá suporte a SCIM para provisionamento automático de usuários e grupos. Por que não as outras: LDAP — um protocolo de acesso a diretórios, não um protocolo de federação; o Identity Center pode usar diretórios baseados em LDAP, mas federa via SAML. OAuth 2.0 — um framework de autorização para delegação de API, não federação de SSO corporativo. Kerberos — um protocolo de autenticação de rede on-premises, não usado para federação de SSO na nuvem.

Fontedocs.aws.amazon.com

Fundamentos de segurança e governança4 / 5

Uma conta de rede é proprietária de um transit gateway ao qual 150 contas de workload da mesma organização precisam se conectar. Hoje, a equipe de rede compartilha o transit gateway com o AWS RAM listando IDs de conta, e cada conta de workload precisa aceitar um convite antes de poder se conectar. A equipe quer que as contas da organização obtenham acesso sem convites nem listas por conta. O que a equipe de rede deve fazer?

AlexExplicação completa do Alex

O AWS RAM permite que o proprietário de um recurso compartilhe recursos compatíveis, como transit gateways, com outras contas. Para compartilhar dentro de uma organização sem listar cada conta, você primeiro habilita o compartilhamento com o AWS Organizations no AWS RAM e depois compartilha o recurso com a organização inteira ou com OUs específicas. Nesse caso, o AWS RAM não envia convites às entidades principais da organização, e as contas que entrarem na OU depois recebem acesso automaticamente. Transit gateways não usam políticas baseadas em recursos para permissões de attachment, então uma política baseada no ID da organização não é como o compartilhamento funciona. Criar um transit gateway por conta multiplica o custo e o trabalho de roteamento. Uma função do IAM entre contas permitiria que as equipes de workload agissem dentro da conta de rede, o que amplia o acesso delas sem necessidade. Dica para o exame: compartilhamento em toda a organização sem convites é AWS RAM com o compartilhamento do Organizations habilitado.

Fontedocs.aws.amazon.com

* As questões do app estão atualmente em inglês. As traduções desta prévia se aplicam apenas à prévia. Consulte a entidade certificadora para saber quais idiomas estão disponíveis para o exame oficial.

Como se preparar para SCS-C03 com o Pass-IT.

Atualmente, são 340 perguntas de prática para SCS-C03, e adicionamos novas regularmente. Concentre-se no que ainda precisa aprender.

Avance nas perguntas difíceis.

Entenda por que uma resposta está correta. Alex explica os conceitos e responde às suas dúvidas para que você aplique o que aprendeu no próximo exercício.

Conheça o Alex →

Prévia da conversa · SCS-C03

Chaves fora da AWS

  1. Você

    Podemos manter as chaves em hardware próprio e usar KMS?

  2. Alex · Tutor de IA

    Um armazenamento externo conecta o KMS ao seu gerenciador de chaves por um proxy XKS.

    Consultar a documentação ↗
  3. Você

    A AWS opera esse hardware externo?

  4. Alex · Tutor de IA

    Sua organização opera o sistema externo e responde pela disponibilidade e preservação das chaves.

    Consultar a documentação ↗

Use bem seu tempo de estudo.

Pratique no seu nível.
Nas novas sessões de prática, o Pass-IT ajusta a dificuldade com base nas suas respostas anteriores.

Aprenda com os erros.
Respostas incorretas viram cartões de estudo automaticamente. Ao revisar, você avalia com quanta segurança se lembra da resposta; o Pass-IT agenda a próxima revisão.

Veja como funciona a prática focada →

Demonstração animada do recurso

Transforme seus erros em conhecimento que você lembra com segurança.

Como o Pass-IT funciona

Sua revisão

Errou uma pergunta?

O Pass-IT a salva para sua revisão.

SCS-C03 · Trecho de uma pergunta

Chaves fora da AWS

Ver a pergunta completa

A política de segurança de uma empresa exige que todas as chaves de criptografia do AWS KMS usadas para dados de produção fiquem armazenadas em hardware security modules (HSMs) que a empresa controle fisicamente, sem deixar de usar a API do KMS para as operações de criptografia. Qual opção de key store do KMS atende a esse requisito?

Entenda a resposta correta.

AWS KMS com um external key store (XKS)

Um armazenamento externo mantém o material de chave externo fora da AWS.

Consultar a documentação ↗

Com quanta segurança você se lembra?

Ao revisar, você avalia o quanto ainda se lembra da resposta.

Correta após hesitar

O Pass-IT agenda sua próxima revisão.

A data depende da sua avaliação e das revisões anteriores.

Demonstração simplificada. Nenhum progresso de aprendizagem é salvo.

Treine para o momento que importa.

Faça um simulado completo com tempo limite e descubra se consegue terminar a tempo.

Seu simulado de SCS-C03

Perguntas
65
Minutos
170

Ilustração de uma sessão de prova

  1. Início
  2. Responder às perguntas
  3. Fim

Quantidade de perguntas e tempo limite do simulado do Pass-IT.

Faça a prova com mais confiança.

Seu Readiness Score ajuda você a avaliar se está pronto para a prova. Os resultados por área mostram onde vale continuar praticando.

Seu dinheiro de volta se não passar mesmo com 80% de Readiness.
Se seu Readiness Score for de pelo menos 80% no momento da prova e você ainda assim não passar, devolvemos o valor pago pelo Pass-IT para esta certificação.

Para acessos pagos e ativos. Envie o comprovante de reprovação em até 14 dias.

Outras condições da garantia

No momento da prova, você precisa de pelo menos 80% de Readiness e de um acesso pago e ativo à certificação. Faça a prova durante seu período de acesso e envie o comprovante oficial de reprovação em até 14 dias após a prova.

Nas compras feitas pela Apple ou pelo Google, o reembolso é processado pela respectiva loja. Consulte as condições completas para os demais detalhes.

Ver as condições da garantia →

O Readiness Score descreve seu progresso na prática, não uma probabilidade de aprovação.

Requisito da garantia

80%

Pelo menos 80% de Readiness
no momento da prova

Dinheiro de volta se não passar

Quantidade de perguntas e configurações dos simulados do catálogo atual do Pass-IT.

As áreas da prova

O que você pratica para SCS-C03.

Conteúdo da prova, exercícios relacionados e fontes que você pode consultar.

Detectar ameaças e investigar sinais ausentesConsulte o peso de cada área no guia54 PerguntasPerguntas do Pass-IT

Configure o monitoramento e os logs para reconhecer atividades suspeitas na AWS.

  • Escolher verificações de integridade, descobertas de segurança e alertas que revelem comportamentos incomuns, e automatizar avaliações periódicas.
  • Coletar e armazenar os logs adequados, depois normalizá-los e correlacioná-los para investigar atividades entre serviços.
  • Encontrar problemas de configuração ou permissões que impeçam o funcionamento correto do monitoramento, dos logs ou dos alertas.
Objetivos oficiais da certificação
Preparar a resposta a incidentesConsulte o peso de cada área no guia38 PerguntasPerguntas do Pass-IT

Planeje como investigar e conter incidentes de segurança e recuperar os serviços.

  • Escrever e testar procedimentos de resposta, preparar acessos e ferramentas de segurança e automatizar as etapas adequadas.
  • Preservar evidências forenses e correlacionar descobertas para determinar o alcance, o impacto e a causa raiz de um incidente.
  • Isolar os recursos afetados, eliminar ameaças e recuperar os serviços conforme o plano de resposta.
Objetivos oficiais da certificação
Proteger redes e cargas de trabalhoConsulte o peso de cada área no guia58 PerguntasPerguntas do Pass-IT

Aplique controles de segurança na borda da rede, nas cargas de trabalho e entre ambientes.

  • Configurar e solucionar problemas das proteções de borda, como regras do AWS WAF e defesas do AWS Shield contra ataques previstos.
  • Reforçar e aplicar patches às cargas de computação, verificar vulnerabilidades e proteger acessos administrativos, incluindo salvaguardas para aplicações de IA generativa.
  • Controlar e segmentar o tráfego de rede, proteger conexões híbridas e diagnosticar acessos desnecessários ou bloqueados.
Objetivos oficiais da certificação
Controlar identidades e acessosConsulte o peso de cada área no guia67 PerguntasPerguntas do Pass-IT

Defina como pessoas e cargas de trabalho comprovam sua identidade e recebem as permissões adequadas.

  • Configurar e solucionar problemas de autenticação, integração de provedores de identidade e credenciais temporárias para pessoas, aplicações e sistemas.
  • Projetar autorizações de privilégio mínimo com funções, atributos e políticas do IAM, incluindo o acesso entre contas.
  • Investigar falhas de autorização e privilégios não intencionais, e corrigir as políticas responsáveis.
Objetivos oficiais da certificação
Proteger os dados e suas chavesConsulte o peso de cada área no guia72 PerguntasPerguntas do Pass-IT

Escolha controles para dados em trânsito, dados armazenados e os segredos que protegem o acesso.

  • Exigir criptografia em trânsito e configurar o acesso privado e a comunicação criptografada entre recursos.
  • Proteger dados armazenados com criptografia adequada, controles de integridade, regras de retenção e backups ou replicação seguros.
  • Gerenciar e rotacionar segredos, chaves e certificados, distinguir material de chave importado do gerado pela AWS e mascarar dados sensíveis.
Objetivos oficiais da certificação
Governar a segurança entre contasConsulte o peso de cada área no guia51 PerguntasPerguntas do Pass-IT

Gerencie contas e controles de segurança compartilhados de forma consistente e verifique a conformidade.

  • Organizar contas com AWS Organizations e AWS Control Tower, centralizar a administração de segurança e proteger o acesso raiz.
  • Implantar recursos seguros de forma consistente com infraestrutura como código, políticas aplicadas centralmente e compartilhamento controlado de recursos.
  • Detectar e corrigir recursos fora de conformidade, coletar evidências de auditoria e avaliar arquiteturas segundo as boas práticas de segurança.
Objetivos oficiais da certificação
Formatos de perguntas que você pode praticar
Múltipla escolha
Selecione uma resposta.
Resposta múltipla
Selecione várias respostas adequadas.
Ordenação
Coloque as etapas na ordem correta.
Correspondência
Associe cada item ao seu correspondente, seguindo as instruções da questão.

Esses são os formatos de prática do Pass-IT. Consulte os requisitos oficiais da prova em Objetivos oficiais da certificação.

Perguntas frequentes

Sua preparação

Quanto tempo de estudo devo reservar para SCS-C03?

Para ajudar no planejamento, o Pass-IT estima cerca de 40–105 horas. Com experiência relevante, você tende a precisar de menos tempo; começando do zero, de mais. Sua necessidade pode ficar fora dessa faixa. Isso não é uma exigência de tempo da AWS nem uma promessa de estar pronto para a prova nesse prazo.

Usar o Pass-IT

Em que idioma estão as perguntas do Pass-IT?

As perguntas do aplicativo estão atualmente em inglês. As traduções das perguntas de exemplo desta página valem apenas para esta prévia. Consulte AWS para saber quais idiomas estão disponíveis para a prova oficial.

Quanto tempo dura meu acesso a SCS-C03?

O acesso a esta certificação dura 12 meses. Você paga uma vez, sem renovação automática.

Quando a garantia de devolução do dinheiro se aplica?

A garantia devolve o valor pago pelo Pass-IT para esta certificação. Você precisa de um acesso pago elegível e de um Readiness Score de pelo menos 80%, calculado a partir dos seus resultados de prática, no momento da prova. Esse valor só pode atingir 80% após pelo menos 50 perguntas respondidas e não é uma probabilidade de aprovação validada. Faça a prova durante seu período de acesso e envie o comprovante oficial de reprovação em até 14 dias. Condições da garantia

Sobre a prova SCS-C03

Onde posso fazer a prova SCS-C03?

Centro de testes Pearson VUE ou exame supervisionado online.

Quanto tempo dura o exame AWS Certified Security - Specialty?

O exame SCS-C03 tem 65 questões e um limite de tempo de 170 minutos.

Que experiência a AWS Security Specialty pressupõe?

A AWS não exige nenhum pré-requisito formal, mas escreve o SCS-C03 para quem tem de três a cinco anos de experiência protegendo cargas de trabalho em nuvem e domínio profundo dos serviços de segurança da AWS. É uma prova de nível avançado, e as questões partem do princípio de que você já depurou políticas de IAM de verdade, não apenas leu sobre elas.

Por quanto tempo a AWS Security Specialty é válida?

A certificação é válida por três anos. Se você passar na versão mais recente do exame, ela será renovada por mais três anos. Enquanto sua certificação estiver ativa, você também pode renová-la pelo AWS Skill Builder para estendê-la por mais um ano.

O que acontece se você for reprovado na AWS Security Specialty?

A AWS pede 14 dias de espera entre as tentativas e não limita quantas vezes você pode fazer a prova. Com o formato de 170 minutos, uma reprovação costuma ser tanto um problema de ritmo quanto de conhecimento.

Sua preparação para SCS-C03

$29.99pagamento único

12 meses de acesso a SCS-C03 · Sem renovação automática

Comprar acesso a SCS-C03

As perguntas do aplicativo estão atualmente em inglês.

Experimentar 20 perguntas grátisÉ preciso ter uma conta gratuita. Sem cartão.

Já tem uma conta? Entre

Prefere uma assinatura? Ver assinaturas →

Dinheiro de volta se não passar com pelo menos 80% de Readiness, para compras elegíveis conforme as condições da garantia.

Condições da garantia

A garantia devolve o valor pago pelo Pass-IT para esta certificação. Você precisa de um acesso pago elegível e de um Readiness Score de pelo menos 80%, calculado a partir dos seus resultados de prática, no momento da prova. Esse valor só pode atingir 80% após pelo menos 50 perguntas respondidas e não é uma probabilidade de aprovação validada. Faça a prova durante seu período de acesso e envie o comprovante oficial de reprovação em até 14 dias.

Condições completas da garantia →

Certificações relacionadas

AWS Certified Advanced Networking - SpecialtyAWS Certified AI Business StrategistAWS Certified AI PractitionerAWS Certified CloudOps Engineer - AssociateTodas as certificações AWS →