Um engenheiro de segurança está projetando um aplicativo de e-commerce em instâncias Amazon EC2 em um grupo do Auto Scaling atrás de um Application Load Balancer (ALB). O aplicativo usa uma instância de banco de dados Amazon RDS. Somente o tráfego HTTP/HTTPS para o aplicativo deve ser exposto à internet. O aplicativo deve chamar um provedor de pagamentos externo que permite tráfego apenas de uma lista predefinida de endereços IP de origem. As comunicações com o provedor não devem ser interrompidas à medida que o ambiente é dimensionado. Qual combinação de ações o engenheiro de segurança deve recomendar? (Escolha três.)

Para garantir que apenas o tráfego HTTP/HTTPS seja exposto à internet e que as comunicações com o provedor de pagamentos sejam seguras e ininterruptas, o engenheiro de segurança deve: 1. Colocar a instância de banco de dados em uma sub-rede privada. Isso impede o acesso direto da internet ao banco de dados, aumentando a segurança. Colocá-lo em uma sub-rede pública o exporia desnecessariamente. 2. Configurar o grupo do Auto Scaling para iniciar as instâncias EC2 em sub-redes privadas. As instâncias do aplicativo não precisam de acesso direto da internet, pois o ALB as roteia. Isso as protege de acessos não autorizados. Configurar em sub-redes públicas as exporia. 3. Implantar um NAT gateway em cada sub-rede privada para cada Availability Zone em uso. Isso permite que as instâncias nas sub-redes privadas (EC2 e RDS, se necessário para atualizações) iniciem conexões de saída para a internet (como para o provedor de pagamentos) enquanto mantêm os endereços IP de origem consistentes (o IP elástico do NAT Gateway), atendendo ao requisito do provedor de pagamentos. Um ALB em uma sub-rede privada não funcionaria, pois ele precisa de acesso público para receber tráfego da internet.