Uma empresa exige HTTPS para acesso às suas aplicações web. As aplicações são executadas em instâncias Amazon EC2 atrás de um Application Load Balancer (ALB) em uma VPC. Um engenheiro de segurança deve garantir que o load balancer aceite conexões apenas na porta 443, mesmo que um listener HTTP seja configurado acidentalmente. Qual configuração realiza isso?

A opção correta é criar um security group com uma única regra de entrada que permita conexões de 0.0.0.0/0 na porta 443 e associá-lo exclusivamente ao ALB. Security groups são stateful e atuam como firewalls virtuais para instâncias e load balancers, controlando o tráfego permitido. Ao permitir apenas a porta 443, qualquer tentativa de conexão na porta 80 será bloqueada, mesmo que um listener HTTP seja configurado acidentalmente. As outras opções estão incorretas porque: Negar 0.0.0.0/0 na porta 80 em um security group pode ser anulado por regras mais permissivas. Network ACLs associadas ao internet gateway não controlam o tráfego para o ALB diretamente, e ACLs são stateless, exigindo regras de entrada e saída. Uma network ACL que permite conexões de saída para o intervalo de IP da VPC na porta 443 não restringe o tráfego de entrada para o ALB.