Un'azienda esegue un'applicazione web su istanze Amazon EC2 dietro un Application Load Balancer (ALB). L'applicazione è in ascolto sulle porte 80 e 443 sull'ALB, che termina SSL e inoltra solo HTTP (porta 80) alle istanze. L'ALB si trova in sottoreti pubbliche associate a una network ACL denominata NACL1. Le istanze dell'applicazione si trovano in sottoreti private associate a NACL2. Un'istanza DB Amazon RDS for PostgreSQL (porta 5432) si trova in una sottorete privata separata associata a NACL3. Tutte le NACL attualmente consentono tutto il traffico in entrata e in uscita. Quali modifiche alla network ACL rafforzeranno la sicurezza preservando la funzionalità?

L'opzione corretta rafforza la sicurezza di NACL3 (associata al database RDS) limitando il traffico in entrata e in uscita solo a ciò che è strettamente necessario. La regola in entrata consente la porta 5432 (PostgreSQL) solo dai blocchi CIDR delle sottoreti delle istanze dell'applicazione, garantendo che solo l'applicazione possa connettersi al database. La regola in uscita consente le porte effimere (1024-65536) verso le sottoreti dell'applicazione, necessarie per il traffico di ritorno delle risposte del database. La rimozione delle regole predefinite di "allow-all" è fondamentale per implementare il principio del privilegio minimo. Le altre opzioni sono errate perché non specificano correttamente le porte o le direzioni del traffico, o non rimuovono le regole "allow-all", lasciando vulnerabilità.