Une entreprise prévoit d'héberger des sites web publics sur AWS avec plusieurs niveaux (web, application, base de données). Elle utilisera AWS Network Firewall, AWS WAF et les groupes de sécurité VPC. Les pare-feu doivent être déployés dans les VPC corrects, les politiques pour Network Firewall et AWS WAF doivent être gérables de manière centralisée, et les équipes d'application doivent pouvoir gérer leurs propres groupes de sécurité tout en empêchant les règles trop permissives. Quelle est la solution la plus efficace sur le plan opérationnel qui répond à ces besoins ?

La bonne réponse est la plus efficace opérationnellement car elle combine l'Infrastructure as Code (IaC) avec la gestion centralisée. Définir les ressources en tant que code avec CloudFormation assure un déploiement initial cohérent et reproductible. AWS Firewall Manager est la solution clé pour la gestion centralisée des politiques AWS WAF, Network Firewall et des groupes de sécurité VPC à travers plusieurs comptes et VPC, répondant au besoin de gouvernance et de prévention des règles trop permissives. GuardDuty surveille les menaces potentielles, y compris les configurations de sécurité faibles. Les autres options sont moins efficaces : La première option utilise CloudFormation pour les mises à jour, ce qui est possible mais moins efficace pour la gestion centralisée et la conformité continue que Firewall Manager. La deuxième option utilise la console/CLI pour la gestion, ce qui n'est pas une approche IaC et manque de gestion centralisée à grande échelle. La troisième option déploie les ACL web avec CloudFormation mais utilise Firewall Manager pour le reste, ce qui est une bonne approche, mais l'option correcte est plus complète en incluant le déploiement initial de toutes les ressources de sécurité via CloudFormation avant la gestion continue par Firewall Manager.