한 회사에서 Application Load Balancer(ALB) 뒤의 Amazon EC2 인스턴스에서 웹 애플리케이션을 실행하고 있습니다. 애플리케이션은 ALB에서 포트 80과 443을 수신하며, ALB는 SSL을 종료하고 HTTP(포트 80)만 인스턴스로 전달합니다. ALB는 NACL1이라는 네트워크 ACL과 연결된 퍼블릭 서브넷에 있습니다. 애플리케이션 인스턴스는 NACL2와 연결된 프라이빗 서브넷에 있습니다. Amazon RDS for PostgreSQL DB 인스턴스(포트 5432)는 NACL3와 연결된 별도의 프라이빗 서브넷에 있습니다. 모든 NACL은 현재 모든 인바운드 및 아웃바운드 트래픽을 허용합니다. 기능을 유지하면서 보안을 강화할 네트워크 ACL 변경 사항은 무엇입니까?

정답은 NACL3(RDS 데이터베이스 인스턴스)에 대한 변경 사항을 설명합니다. 데이터베이스는 애플리케이션 인스턴스(NACL2)로부터 포트 5432를 통한 인바운드 연결만 허용해야 합니다. 데이터베이스가 애플리케이션 인스턴스로 응답을 보낼 수 있도록 아웃바운드 규칙은 임시 포트(1024-65536)를 허용해야 합니다. 기본 허용-모든 규칙을 제거하면 보안이 강화됩니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. 첫 번째 오답은 "NACL2에서 포트 5432를 허용하는 인바운드 규칙"을 언급하는데, NACL2는 서브넷 CIDR 블록이 아니라 네트워크 ACL입니다. 세 번째 오답은 NACL2에 대한 변경 사항을 설명하지만, 데이터베이스에 대한 인바운드 연결을 제한하는 데 필요한 NACL3에 대한 변경 사항을 포함하지 않습니다. 네 번째 오답은 NACL2에 대한 인바운드 규칙을 포함하지만, 애플리케이션 인스턴스가 데이터베이스에 연결하는 데 필요한 아웃바운드 규칙은 아닙니다. 또한, NACL3에 대한 변경 사항이 누락되어 있습니다.