Een bedrijf draait een webapplicatie op Amazon EC2-instances achter een Application Load Balancer (ALB). De applicatie luistert op poorten 80 en 443 op de ALB, die SSL beëindigt en alleen HTTP (poort 80) doorstuurt naar instances. De ALB bevindt zich in publieke subnetten die zijn gekoppeld aan een netwerk-ACL genaamd NACL1. De applicatie-instances bevinden zich in privé-subnetten die zijn gekoppeld aan NACL2. Een Amazon RDS for PostgreSQL DB-instance (poort 5432) bevindt zich in een afzonderlijk privé-subnet dat is gekoppeld aan NACL3. Alle NACL's staan momenteel al het inkomende en uitgaande verkeer toe. Welke wijzigingen in de netwerk-ACL zullen de beveiliging verharden met behoud van de functionaliteit?

De correcte optie beveiligt NACL3, die de RDS-database beschermt. De database moet inkomend verkeer op poort 5432 (PostgreSQL) alleen accepteren van de applicatie-instances. Dit wordt bereikt door een inkomende regel toe te voegen die poort 5432 toestaat vanaf de CIDR-blokken van de applicatie-subnetten. Voor uitgaand verkeer moet de database antwoorden kunnen sturen naar de applicatie-instances. Dit gebeurt op efemere poorten (1024-65536), vandaar de uitgaande regel die deze poorten toestaat naar de applicatie-subnetten. Het verwijderen van de standaard allow-all regels zorgt ervoor dat alleen expliciet toegestaan verkeer door de NACL gaat, wat het principe van 'least privilege' volgt. De andere opties zijn onjuist omdat ze ofwel de verkeerde NACL aanpassen, onvoldoende specificiteit bieden (bijv. verwijzen naar NACL2 in plaats van de CIDR-blokken), of de benodigde communicatiepatronen niet correct weerspiegelen.