Un'azienda richiede HTTPS per l'accesso alle sue applicazioni web. Le applicazioni sono eseguite su istanze Amazon EC2 dietro un Application Load Balancer (ALB) in una VPC. Un ingegnere della sicurezza deve assicurarsi che il load balancer accetti connessioni solo sulla porta 443, anche se un listener HTTP viene configurato accidentalmente. Quale configurazione realizza questo obiettivo?

La risposta corretta è creare un gruppo di sicurezza con una singola regola in entrata che consente le connessioni da 0.0.0.0/0 sulla porta 443 e assicurarsi che sia l'unico gruppo di sicurezza associato all'ALB. I gruppi di sicurezza sono stateful e agiscono come firewall virtuali per le istanze. Associando un gruppo di sicurezza che permette solo il traffico sulla porta 443 all'ALB, si garantisce che qualsiasi altro traffico, inclusa la porta 80, venga bloccato, anche se un listener HTTP viene configurato accidentalmente. Le opzioni che coinvolgono le Network ACL non sono l'approccio più efficace in questo scenario. Le Network ACL sono stateless e operano a livello di sottorete, non direttamente sull'ALB. Un gruppo di sicurezza applicato direttamente all'ALB è il metodo più granulare e diretto per controllare il traffico in entrata verso il load balancer stesso.