Een bedrijf vereist HTTPS voor toegang tot zijn webapplicaties. De applicaties draaien op Amazon EC2-instances achter een Application Load Balancer (ALB) in een VPC. Een security engineer moet ervoor zorgen dat de load balancer alleen verbindingen op poort 443 accepteert, zelfs als per ongeluk een HTTP-listener is geconfigureerd. Welke configuratie bereikt dit?

De juiste configuratie is om een security group te maken die alleen inkomende verbindingen op poort 443 toestaat en deze als enige aan de ALB te koppelen. Security groups zijn stateful firewalls op instanceniveau die verkeer controleren dat de ALB bereikt. Door alleen poort 443 toe te staan, wordt al het andere verkeer, inclusief HTTP op poort 80, impliciet geweigerd, ongeacht of er per ongeluk een HTTP-listener is geconfigureerd. Incorrecte opties: Een security group maken die poort 80 weigert, is minder effectief. Security groups werken op basis van "allow-lijsten"; expliciet weigeren is niet de primaire functie en kan conflicteren met andere regels. Bovendien overschrijven security groups elkaar niet; ze worden gecombineerd. Een netwerk-ACL koppelen aan de internetgateway is onjuist. Netwerk-ACL's worden gekoppeld aan subnetten, niet aan de internetgateway. Bovendien zijn netwerk-ACL's stateless en werken ze op subnetniveau, wat minder granulaire controle biedt dan een security group op ALB-niveau. Een netwerk-ACL maken die alleen uitgaande verbindingen naar het VPC IP-bereik op poort 443 toestaat, is irrelevant voor het beveiligen van inkomend verkeer naar de ALB en de internetgateway is de verkeerde plaats om deze te koppelen.