A Lumen AI quer evitar a exfiltração de dados de sua VPC bloqueando HTTPS de saída para domínios maliciosos conhecidos e também detectar varreduras de porta internas. Eles preferem um serviço de inspeção gerenciado e em linha. Qual solução melhor atende a esses requisitos?

O AWS Network Firewall é um serviço de firewall gerenciado e em linha que atende aos requisitos. Ele permite a criação de grupos de regras stateful, incluindo regras baseadas em FQDN (usando TLS SNI ou HTTP Host) para bloquear domínios maliciosos e regras Suricata para detecção de varreduras de porta. Ao direcionar o tráfego de saída através de sub-redes de firewall, toda a comunicação é inspecionada. As outras opções são inadequadas: Security Groups operam no nível da instância e não podem bloquear FQDNs ou detectar varreduras de porta de forma granular. AWS WAF é um firewall de aplicação web (camada 7) e não é projetado para inspeção de tráfego de saída geral de VPC ou detecção de varreduras de porta internas. Route 53 Resolver DNS Firewall bloqueia domínios maliciosos no nível DNS, mas não inspeciona o tráfego L3/L4 para varreduras de porta.