Une société de conseil gère les comptes AWS de ses clients. Un client a besoin d'ajouter une prévention des intrusions sans refondre son architecture. L'environnement du client comprend cinq VPC répartis sur deux régions américaines, connectés par peering VPC, et il n'est pas prévu d'ajouter d'autres VPC au cours des deux prochaines années. La solution doit être capable d'inspecter le trafic non chiffré. Quelle approche répond à ces exigences ?

La bonne réponse est d'utiliser un modèle de déploiement distribué AWS Network Firewall dans chaque VPC. Cela permet d'inspecter le trafic non chiffré au sein de chaque VPC sans refonte architecturale majeure, car Network Firewall s'intègre directement aux VPC. Le modèle distribué est adapté ici car il n'y a pas de plans pour ajouter de nouveaux VPC, ce qui simplifie la gestion par rapport à un modèle centralisé qui nécessiterait des ajustements de routage complexes pour un nombre limité de VPC existants. Les groupes de sécurité et les ACL réseau offrent une protection de base au niveau des instances et des sous-réseaux, mais ne fournissent pas de prévention des intrusions avancée. AWS Shield est un service de protection DDoS et non une solution de prévention des intrusions. Un modèle centralisé AWS Network Firewall serait plus complexe à mettre en œuvre pour seulement cinq VPC existants, car il impliquerait de rediriger tout le trafic via un VPC central, ce qui n'est pas nécessaire et pourrait introduire une latence supplémentaire.