Una società di consulenza gestisce gli account AWS per i propri clienti. Un cliente ha bisogno di aggiungere la prevenzione delle intrusioni senza riprogettare l'architettura. L'ambiente del cliente dispone di cinque VPC distribuiti su due regioni degli Stati Uniti, collegati tramite VPC peering, e non prevede di aggiungere altri VPC nei prossimi 2 anni. La soluzione deve essere in grado di ispezionare il traffico non crittografato. Quale approccio soddisfa questi requisiti?

Il modello di deployment distribuito di AWS Network Firewall in ogni VPC è la soluzione migliore perché consente di ispezionare il traffico non crittografato e di implementare la prevenzione delle intrusioni direttamente all'interno di ogni VPC, senza richiedere una riprogettazione significativa dell'architettura esistente. Dato che il cliente ha cinque VPC e non prevede di aggiungerne altri, questa soluzione è scalabile e gestibile. Le altre opzioni non sono adatte: I gruppi di sicurezza VPC e le ACL di rete offrono un controllo del traffico a livello di pacchetto e istanza, ma non forniscono funzionalità di prevenzione delle intrusioni o ispezione approfondita del traffico. Un modello di deployment centralizzato di AWS Network Firewall sarebbe più complesso da implementare con VPC peering e potrebbe introdurre latenza o colli di bottiglia, specialmente con il traffico inter-VPC. AWS Shield è un servizio di protezione DDoS e non offre funzionalità di prevenzione delle intrusioni o ispezione del traffico a livello applicativo.