一家医疗保健公司正在将工作负载迁移到 AWS。所有进出本地环境的流量都必须在传输过程中加密，并且所有云流量在离开云流向本地或互联网之前都必须经过检查。部分工作负载将面向互联网，用于患者预约，并且必须防范 DDoS 攻击，包括在攻击期间可能扩展的服务提供财务保护。网络工程师应采取哪些措施组合来满足这些要求？（选择三项。）

医疗保健公司要求所有进出本地环境的流量在传输过程中加密，使用支持 MACsec 的 AWS Direct Connect 可以满足这一要求，因为它在第 2 层提供加密。所有云流量在离开云流向本地或互联网之前必须经过检查，这可以通过使用 Gateway Load Balancer 插入第三方内联防火墙来实现，它允许流量通过防火墙进行检查。部分面向互联网的工作负载需要防范 DDoS 攻击并提供财务保护，启用 AWS Shield Advanced 并确保其已为所有面向公众的资产配置是正确的选择，因为它提供高级 DDoS 保护和攻击期间的财务保护。 Traffic Mirroring 仅用于流量分析，不能满足加密或检查要求。在所有面向互联网的网络组件上部署 AWS WAF 是一个好的安全实践，但它不能满足所有流量检查的要求，特别是对于离开云的内部流量。使用 AWS Lambda 函数编程安全组规则可以阻止恶意 IP 地址，但这是一种被动响应机制，不能提供全面的流量检查或 DDoS 保护。