Firma hostuje aplikację do strumieniowania wideo w VPC, używając Network Load Balancer (NLB) do obsługi ruchu TCP w celu przetwarzania w czasie rzeczywistym. Odnotowano próby nieautoryzowanego dostępu. Firma chce poprawić bezpieczeństwo przy minimalnych zmianach architektonicznych, aby zapobiec nieautoryzowanym próbom dostępu. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź to „Utwórz ponownie NLB z grupą zabezpieczeń, która zezwala tylko na zaufane adresy IP”. Network Load Balancer (NLB) nie obsługuje bezpośrednio grup bezpieczeństwa ani AWS WAF. Grupy bezpieczeństwa są przypisywane do instancji docelowych lub interfejsów sieciowych, a nie do samego NLB. Jednakże, aby kontrolować dostęp do NLB na poziomie sieciowym, można użyć list kontroli dostępu do sieci (NACL) w podsieciach, w których działa NLB, lub skonfigurować grupy bezpieczeństwa na instancjach docelowych. Ponowne utworzenie NLB z uwzględnieniem grup bezpieczeństwa dla instancji docelowych lub zastosowanie NACL w podsieciach to najprostsza zmiana architektoniczna, która pozwala na filtrowanie ruchu na podstawie adresów IP. Pozostałe opcje są nieprawidłowe: AWS WAF nie może być bezpośrednio zaimplementowany na NLB, ponieważ WAF działa na warstwie aplikacji (HTTP/HTTPS), a NLB działa na warstwie transportowej (TCP/UDP). Wdrożenie drugiego NLB jest niepotrzebną komplikacją architektoniczną i nie rozwiązuje problemu filtrowania dostępu do istniejącego NLB. AWS Shield Advanced zapewnia ochronę przed atakami DDoS, ale nie jest narzędziem do filtrowania nieautoryzowanych prób dostępu na podstawie adresów IP, co jest celem w tym scenariuszu.