보안 엔지니어가 Application Load Balancer(ALB) 뒤의 Auto Scaling 그룹에 있는 Amazon EC2 인스턴스에서 전자 상거래 애플리케이션을 설계하고 있습니다. 이 애플리케이션은 Amazon RDS DB 인스턴스를 사용합니다. 애플리케이션으로의 HTTP/HTTPS 트래픽만 인터넷에 노출되어야 합니다. 애플리케이션은 미리 정의된 소스 IP 주소 목록에서만 트래픽을 허용하는 외부 결제 공급자를 호출해야 합니다. 환경이 확장되어도 공급자와의 통신이 중단되어서는 안 됩니다. 보안 엔지니어는 어떤 조치 조합을 권장해야 할까요? (세 가지 선택)

DB 인스턴스를 프라이빗 서브넷에 배치하면 데이터베이스가 인터넷에 직접 노출되지 않아 보안이 강화됩니다. Auto Scaling 그룹이 프라이빗 서브넷에서 EC2 인스턴스를 시작하도록 구성하는 것도 애플리케이션 서버를 인터넷으로부터 격리하여 보안을 유지하는 데 필수적입니다. HTTP/HTTPS 트래픽만 인터넷에 노출되어야 하므로 ALB는 퍼블릭 서브넷에 위치하고 EC2 인스턴스는 프라이빗 서브넷에 위치해야 합니다. 미리 정의된 IP 주소 목록에서만 트래픽을 허용하는 외부 결제 공급자와 통신하려면 프라이빗 서브넷의 EC2 인스턴스에서 아웃바운드 인터넷 연결이 필요합니다. 각 가용 영역의 각 프라이빗 서브넷에 NAT Gateway를 배포하면 EC2 인스턴스가 인터넷으로 아웃바운드 연결을 시작할 수 있으며, 이는 결제 공급자와의 통신에 필요합니다. NAT Gateway는 인스턴스가 인터넷에서 시작된 인바운드 연결을 수신하는 것을 방지하면서 아웃바운드 연결을 허용합니다. DB 인스턴스를 퍼블릭 서브넷에 배치하거나 Auto Scaling 그룹이 퍼블릭 서브넷에서 EC2 인스턴스를 시작하도록 구성하면 보안 위험이 증가합니다. ALB를 프라이빗 서브넷에 배포하면 인터넷에서 애플리케이션에 접근할 수 없습니다.