Ein Beratungsunternehmen verwaltet AWS-Konten für Kunden. Ein Kunde benötigt eine Intrusion Prevention, ohne die Architektur neu zu gestalten. Die Umgebung des Kunden umfasst fünf VPCs in zwei US-Regionen, die über VPC-Peering verbunden sind, und es ist nicht geplant, in den nächsten 2 Jahren weitere VPCs hinzuzufügen. Die Lösung muss in der Lage sein, unverschlüsselten Datenverkehr zu inspizieren. Welcher Ansatz erfüllt diese Anforderungen?

Ein verteiltes AWS Network Firewall-Bereitstellungsmodell in jeder VPC ist die beste Lösung, da es Intrusion Prevention bietet und unverschlüsselten Datenverkehr in jeder der fünf VPCs inspizieren kann, ohne die bestehende Architektur wesentlich zu ändern. Dies entspricht der Anforderung, keine Neugestaltung vorzunehmen. VPC-Sicherheitsgruppen und Netzwerk-ACLs bieten grundlegende Paketfilterung, aber keine Intrusion Prevention oder Deep Packet Inspection für unverschlüsselten Datenverkehr. Ein zentralisiertes AWS Network Firewall-Modell würde eine Neugestaltung der Netzwerk-Topologie erfordern, um den gesamten Datenverkehr durch eine zentrale Firewall-VPC zu leiten, was den Anforderungen widerspricht. AWS Shield ist ein DDoS-Schutzdienst und bietet keine Intrusion Prevention für den Anwendungs- oder Netzwerk-Layer innerhalb der VPCs.