Uma empresa executa um aplicativo web em instâncias Amazon EC2 atrás de um Application Load Balancer (ALB). O aplicativo escuta nas portas 80 e 443 no ALB, que encerra o SSL e encaminha apenas HTTP (porta 80) para as instâncias. O ALB está em sub-redes públicas associadas a uma ACL de rede chamada NACL1. As instâncias do aplicativo estão em sub-redes privadas associadas à NACL2. Uma instância de banco de dados Amazon RDS para PostgreSQL (porta 5432) está em uma sub-rede privada separada associada à NACL3. Todas as NACLs atualmente permitem todo o tráfego de entrada e saída. Quais alterações na ACL de rede fortalecerão a segurança, preservando a funcionalidade?

A opção correta fortalece a segurança da NACL3 (RDS) limitando o acesso apenas ao necessário. A regra de entrada permite a porta 5432 (PostgreSQL) apenas dos CIDRs das sub-redes das instâncias de aplicativo, que são os únicos clientes legítimos do banco de dados. A regra de saída permite as portas efêmeras (1024-65536) de volta para as instâncias de aplicativo, o que é essencial para o retorno do tráfego de resposta da conexão. Remover as regras padrão de "permitir tudo" é crucial para aplicar essas restrições. As opções incorretas falham por diversos motivos: A primeira opção incorreta usa "NACL2" como origem/destino, o que não é um CIDR e não funcionaria para NACLs. A terceira opção incorreta foca apenas na NACL2 e não aborda a segurança da NACL3, que é o alvo principal para proteger o banco de dados. A quarta opção incorreta na NACL2 não é suficiente, pois as regras de entrada e saída para a porta 5432 estão incorretas para o fluxo de comunicação do aplicativo para o banco de dados. O aplicativo inicia a conexão, então a saída da NACL2 para 5432 é necessária, e a entrada na NACL3 para 5432 é necessária.