Ein Unternehmen benötigt HTTPS für den Zugriff auf seine Webanwendungen. Die Anwendungen laufen auf Amazon EC2-Instances hinter einem Application Load Balancer (ALB) in einer VPC. Ein Sicherheitsingenieur muss sicherstellen, dass der Load Balancer nur Verbindungen auf Port 443 akzeptiert, selbst wenn versehentlich ein HTTP-Listener konfiguriert wird. Welche Konfiguration erreicht dies?

Die korrekte Konfiguration ist, eine Sicherheitsgruppe mit einer einzigen eingehenden Regel zu erstellen, die Verbindungen von 0.0.0.0/0 auf Port 443 zulässt und diese Sicherheitsgruppe dem ALB zuzuordnen. Sicherheitsgruppen sind zustandsbehaftet und wirken als Firewall auf Instance-Ebene. Indem nur Port 443 explizit erlaubt wird, werden alle anderen Ports, einschließlich Port 80, implizit verweigert. Dies stellt sicher, dass der ALB nur HTTPS-Verbindungen akzeptiert, selbst wenn ein HTTP-Listener konfiguriert ist, da die Sicherheitsgruppe den Zugriff auf Port 80 blockiert. Das Verweigern von Port 80 in einer Sicherheitsgruppe ist nicht die beste Praxis, da Sicherheitsgruppen standardmäßig alles verweigern, was nicht explizit erlaubt ist. Eine Netzwerk-ACL am Internet-Gateway ist nicht der richtige Ort, da sie den gesamten Datenverkehr der VPC beeinflussen würde und nicht nur den ALB. Eine ausgehende Regel in einer Netzwerk-ACL ist für diesen Anwendungsfall irrelevant.