Un ingegnere della sicurezza gestisce un'applicazione web tradizionale a tre livelli in esecuzione su istanze Amazon EC2. L'applicazione sta affrontando un numero crescente di attacchi basati su Internet. Quali azioni dovrebbe intraprendere l'ingegnere della sicurezza per identificare le vulnerabilità note e ridurre la superficie di attacco esposta? (Scegliere due.)

Per ridurre la superficie di attacco, è fondamentale rivedere i gruppi di sicurezza. Essi agiscono come firewall virtuali a livello di istanza, e configurandoli per aprire solo le porte strettamente necessarie (principio del privilegio minimo) si limita drasticamente l'esposizione a potenziali attacchi esterni. Ad esempio, se un'applicazione web necessita solo della porta 443 (HTTPS), tutte le altre porte dovrebbero essere chiuse. L'utilizzo di Amazon Inspector è essenziale per identificare proattivamente le vulnerabilità note. Inspector esegue scansioni automatizzate sulle istanze EC2, rilevando configurazioni errate, patch mancanti e vulnerabilità comuni (CVE), fornendo report dettagliati che permettono di sanare i problemi prima che vengano sfruttati dagli attaccanti. Le altre opzioni non sono le risposte migliori per questo specifico problema: AWS Certificate Manager (ACM) e Elastic Load Balancing (ELB) per TLS sono importanti per la sicurezza del traffico, ma non identificano vulnerabilità nelle istanze né riducono la superficie di attacco a livello di porte. AWS Key Management Service (KMS) è per la crittografia dei dati a riposo e in transito, non per la scansione delle vulnerabilità o la gestione delle porte di rete.