Firma obsługuje obciążenie w pojedynczej chmurze AWS VPC. Architektura obejmuje kilka interfejsowych punktów końcowych VPC dla usług AWS (na przykład Amazon CloudWatch Logs i AWS KMS). Wszystkie punkty końcowe używają tej samej grupy zabezpieczeń, która nie jest dołączona do żadnych innych zasobów. Audyt bezpieczeństwa wykazał, że współdzielona grupa zabezpieczeń jest zbyt liberalna. Firma chce zaostrzyć reguły grupy zabezpieczeń, ale nie może zerwać dostępu zasobów VPC do usług AWS za pośrednictwem interfejsowych punktów końcowych. Obecne reguły grupy zabezpieczeń to:

Poprawna odpowiedź to "Ruch przychodzący – Reguła 1 i Ruch wychodzący – Reguła 1". Interfejsowe punkty końcowe VPC (AWS PrivateLink) są z natury prywatne i nie wymagają dostępu z Internetu (0.0.0.0/0). Reguła przychodząca 1 (TCP 443 z 0.0.0.0/0) jest zbyt liberalna, ponieważ zezwala na ruch z dowolnego miejsca w Internecie, co jest niepotrzebne dla punktów końcowych VPC. Usunięcie jej zwiększa bezpieczeństwo bez wpływu na dostęp zasobów VPC. Reguła wychodząca 1 (Wszystkie protokoły/porty do 0.0.0.0/0) jest również zbyt szeroka. Punkty końcowe VPC komunikują się tylko z określonymi usługami AWS w ramach VPC, więc nie potrzebują otwartego dostępu wychodzącego do Internetu. Usunięcie jej jest bezpieczne. Reguła przychodząca 2 (TCP 443 z VPC CIDR) jest niezbędna, ponieważ zezwala zasobom w VPC na komunikację z punktami końcowymi.