Een solutions architect moet een VPC beveiligen die Amazon EC2-instances host met zeer gevoelige gegevens in een privé-subnet. Het bedrijfsbeleid staat deze instances alleen toe om toegang te krijgen tot goedgekeurde software-repositories van derden op het internet met behulp van de URL's van de derde partij. Al het andere internetverkeer moet worden geblokkeerd. Welke oplossing voldoet aan deze vereisten?

De correcte optie is om de routetabel bij te werken en AWS Network Firewall te gebruiken met domeinlijstregelgroepen. AWS Network Firewall is een beheerde firewallservice die geavanceerde netwerkbeveiliging biedt, inclusief URL-filtering. Door een domeinlijstregelgroep te configureren, kan de firewall specifiek verkeer naar goedgekeurde URL's van derden toestaan en al het andere uitgaande internetverkeer blokkeren, wat voldoet aan de vereiste voor zeer gevoelige gegevens. AWS WAF (Web Application Firewall) is ontworpen om webapplicaties te beschermen tegen veelvoorkomende web-exploits en werkt op laag 7 van het OSI-model. Het is niet geschikt voor het filteren van uitgaand verkeer van EC2-instances naar externe software-repositories op basis van URL's. Security groups zijn stateful firewalls op instanceniveau die verkeer filteren op IP-adres en poort, niet op URL. Hoewel ze inkomend verkeer kunnen beperken, kunnen ze geen uitgaand verkeer filteren op basis van URL's. Een Application Load Balancer (ALB) is ontworpen om inkomend verkeer te distribueren naar meerdere doelen en werkt op laag 7. Het is niet bedoeld voor het filteren van uitgaand verkeer van EC2-instances naar het internet op basis van URL's.