Uma empresa de consultoria gerencia contas AWS para clientes. Um cliente precisa adicionar prevenção de intrusão sem reestruturar a arquitetura. O ambiente do cliente possui cinco VPCs em duas regiões dos EUA conectadas por VPC peering e eles não planejam adicionar mais VPCs nos próximos 2 anos. A solução deve ser capaz de inspecionar o tráfego não criptografado. Qual abordagem satisfaz esses requisitos?

A opção correta é usar um modelo de implantação distribuído do AWS Network Firewall em cada VPC. O AWS Network Firewall oferece inspeção de tráfego de camada 3 a 7, incluindo tráfego não criptografado, sem exigir reestruturação da arquitetura. Um modelo distribuído, onde cada VPC tem seu próprio firewall, é ideal para este cenário com cinco VPCs, pois permite inspeção granular e evita gargalos de tráfego que poderiam ocorrer com um modelo centralizado, especialmente com o peering de VPCs. Configurar security groups e ACLs de rede é insuficiente, pois eles operam nas camadas 3 e 4 e não fornecem prevenção de intrusão profunda. O AWS Shield é um serviço de proteção contra DDoS e não realiza inspeção de tráfego para prevenção de intrusão. Um modelo centralizado do AWS Network Firewall seria complexo de implementar com VPC peering e poderia introduzir latência ou gargalos.