Ein Unternehmen betreibt eine Workload in einer einzelnen AWS VPC. Die Architektur umfasst mehrere Interface VPC Endpoints für AWS-Services (z. B. Amazon CloudWatch Logs und AWS KMS). Alle Endpoints verwenden dieselbe Sicherheitsgruppe, die an keine anderen Ressourcen angehängt ist. Eine Sicherheitsüberprüfung ergab, dass die gemeinsame Sicherheitsgruppe zu freizügig ist. Das Unternehmen möchte die Regeln der Sicherheitsgruppe verschärfen, darf aber den Zugriff von VPC-Ressourcen auf AWS-Services über die Interface Endpoints nicht unterbrechen. Die aktuellen Regeln der Sicherheitsgruppe sind: • Inbound – Regel 1: TCP 443 von 0.0.0.0/0 • Inbound – Regel 2: TCP 443 vom VPC CIDR • Outbound – Regel 1: Alle Protokolle/Ports an 0.0.0.0/0 Welche Regel oder Regeln sollten entfernt werden, um diese Anforderungen zu erfüllen?

Die korrekte Antwort ist, Inbound – Regel 1 und Outbound – Regel 1 zu entfernen. Interface VPC Endpoints verwenden private IP-Adressen innerhalb der VPC. Der Zugriff auf diese Endpoints erfolgt von Ressourcen innerhalb derselben VPC. Daher ist die Inbound-Regel 1 (TCP 443 von 0.0.0.0/0) zu freizügig, da sie den Zugriff aus dem gesamten Internet erlaubt, was für einen Interface Endpoint nicht erforderlich ist. Die Inbound-Regel 2 (TCP 443 vom VPC CIDR) ist ausreichend, da sie den Zugriff auf die Endpoints auf Ressourcen innerhalb der VPC beschränkt. Ebenso sind Sicherheitsgruppen zustandsbehaftet. Wenn eine Inbound-Regel den eingehenden Datenverkehr zulässt, wird der entsprechende ausgehende Datenverkehr automatisch zugelassen. Eine explizite Outbound-Regel wie Outbound – Regel 1 (Alle Protokolle/Ports an 0.0.0.0/0) ist daher nicht erforderlich und zu freizügig für einen Interface Endpoint. Das Entfernen dieser Regel unterbricht den Dienst nicht, da der ausgehende Datenverkehr durch die zustandsbehaftete Natur der Sicherheitsgruppe weiterhin erlaubt ist.