Una empresa ejecuta una aplicación en instancias de Amazon EC2 con una base de datos de Amazon RDS. Las credenciales de la base de datos se configuraron utilizando el principio de privilegio mínimo. El equipo de seguridad quiere proteger tanto la aplicación como la base de datos de la inyección SQL y otros ataques basados en la web con la MENOR sobrecarga operativa. ¿Qué solución cumple estos requisitos?

La opción correcta es usar AWS WAF para proteger la aplicación y grupos de parámetros de RDS para la base de datos. AWS WAF (Web Application Firewall) es un servicio que ayuda a proteger aplicaciones web de ataques comunes como inyección SQL y scripts entre sitios, operando a nivel de capa 7 (aplicación). Esto reduce la sobrecarga operativa ya que es un servicio gestionado. Los grupos de parámetros de RDS permiten configurar ajustes de seguridad específicos de la base de datos, como el registro de auditoría, para mejorar la protección. Las otras opciones son menos adecuadas: Los grupos de seguridad y ACL de red operan a nivel de capa 3/4 y no protegen contra ataques a nivel de aplicación como la inyección SQL. AWS Network Firewall es un firewall de estado gestionado que opera a nivel de capa 3-7, pero está más enfocado en la inspección de tráfico de red en VPCs y no es la solución principal para proteger aplicaciones web de inyección SQL con la menor sobrecarga operativa comparado con WAF. Usar diferentes cuentas de base de datos y evitar privilegios excesivos es una buena práctica de seguridad, pero no protege directamente contra ataques de inyección SQL que explotan vulnerabilidades en el código de la aplicación.