Un ingeniero de seguridad está diseñando una aplicación de comercio electrónico en instancias de Amazon EC2 en un grupo de Auto Scaling detrás de un Application Load Balancer (ALB). La aplicación utiliza una instancia de base de datos de Amazon RDS. Solo el tráfico HTTP/HTTPS a la aplicación debe exponerse a Internet. La aplicación debe llamar a un proveedor de pagos externo que permite el tráfico solo desde una lista predefinida de direcciones IP de origen. Las comunicaciones con el proveedor no deben interrumpirse a medida que el entorno escala. ¿Qué combinación de acciones debe recomendar el ingeniero de seguridad? (Elija tres.)

Para cumplir con los requisitos de seguridad y escalabilidad, la instancia de base de datos de Amazon RDS debe colocarse en una subred privada. Esto asegura que la base de datos no sea directamente accesible desde Internet, aumentando su seguridad. Las instancias de EC2 del grupo de Auto Scaling también deben lanzarse en subredes privadas. Esto permite que el ALB las alcance, pero las aísla de Internet, proporcionando una capa de seguridad adicional. Para que las instancias de EC2 en subredes privadas puedan comunicarse con el proveedor de pagos externo (que requiere una IP de origen fija), se debe implementar un NAT Gateway en cada subred privada y en cada Zona de Disponibilidad. Esto proporciona una dirección IP pública estática para el tráfico saliente desde las instancias privadas, sin exponer las instancias directamente a Internet. Las opciones incorrectas son: Colocar la instancia de base de datos en una subred pública: Esto expondría la base de datos directamente a Internet, lo cual es una mala práctica de seguridad. Configurar el grupo de Auto Scaling para lanzar las instancias EC2 en una subred pública: Esto expondría las instancias de la aplicación directamente a Internet, lo cual es innecesario ya que el ALB maneja el tráfico de entrada. Implementar el ALB en una subred privada: Un ALB debe estar en subredes públicas para recibir tráfico de Internet.