Uma empresa hospeda um aplicativo de streaming de vídeo em uma VPC usando um Network Load Balancer (NLB) para lidar com o tráfego TCP para processamento em tempo real. Houve tentativas de acesso não autorizado. A empresa deseja melhorar a segurança com o mínimo de alterações arquitetônicas para evitar tentativas de acesso não autorizado. Qual solução atende a esses requisitos?

A recriação do NLB com um security group que permite apenas IPs confiáveis é a solução mais eficaz e com o mínimo de alterações arquitetônicas. NLBs não suportam security groups diretamente, mas as instâncias de destino por trás do NLB podem ser associadas a security groups. Ao recriar o NLB, você pode configurar os security groups das instâncias de destino para permitir tráfego apenas de endereços IP conhecidos ou de um prefix list, bloqueando tentativas de acesso não autorizado na camada de rede. Implementar regras do AWS WAF diretamente no NLB não é possível, pois o WAF não se integra diretamente com NLBs; ele funciona com Application Load Balancers (ALBs), Amazon CloudFront e API Gateway. Implantar um segundo NLB aumentaria a complexidade e os custos sem resolver o problema de segurança de forma otimizada. Usar o AWS Shield Advanced oferece proteção DDoS, mas não é uma solução para bloquear tentativas de acesso não autorizado baseadas em IPs específicos, que é o foco aqui.