Un architetto di soluzioni deve proteggere una VPC che ospita istanze Amazon EC2 contenenti dati altamente sensibili in una sottorete privata. La policy aziendale consente a queste istanze di accedere solo a repository di software di terze parti approvati su Internet utilizzando gli URL della terza parte. Tutto l'altro traffico Internet deve essere bloccato. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è AWS Network Firewall con gruppi di regole basati su elenchi di domini. AWS Network Firewall consente un filtraggio del traffico in uscita granulare, inclusa la possibilità di specificare URL o nomi di dominio consentiti, bloccando tutto il resto. Questo soddisfa il requisito di accedere solo a repository software di terze parti approvati tramite i loro URL. Le altre opzioni sono meno adatte: AWS WAF (Web Application Firewall) è progettato principalmente per proteggere le applicazioni web da attacchi comuni e non è la soluzione ideale per il controllo del traffico in uscita da istanze EC2 a Internet. I gruppi di sicurezza controllano il traffico a livello di istanza. Sebbene possano filtrare il traffico in uscita, non supportano il filtraggio basato su URL o nomi di dominio, ma solo su indirizzi IP o intervalli CIDR. Un Application Load Balancer (ALB) è un servizio di bilanciamento del carico per il traffico in entrata verso le applicazioni web e non è progettato per gestire o filtrare il traffico in uscita da istanze EC2 a Internet.