Una empresa requiere HTTPS para acceder a sus aplicaciones web. Las aplicaciones se ejecutan en instancias de Amazon EC2 detrás de un Application Load Balancer (ALB) en una VPC. Un ingeniero de seguridad debe asegurarse de que el balanceador de carga solo acepte conexiones en el puerto 443, incluso si se configura accidentalmente un listener HTTP. ¿Qué configuración logra esto?

La opción correcta es crear un grupo de seguridad con una única regla de entrada que permita conexiones desde 0.0.0.0/0 en el puerto 443 y asociarlo exclusivamente al ALB. Los grupos de seguridad son con estado y solo permiten el tráfico explícitamente permitido. Al no incluir una regla para el puerto 80, este tráfico se denegará implícitamente, incluso si se configura un listener HTTP. La primera opción es incorrecta porque los grupos de seguridad no tienen reglas de denegación explícitas; solo reglas de permiso. La segunda y tercera opciones son incorrectas porque las ACL de red son sin estado y operan a nivel de subred, no a nivel de instancia o ALB. Asociar una ACL de red al internet gateway no es una configuración estándar para controlar el tráfico a un ALB y no proporcionaría el control deseado.