Firma uruchamia aplikację internetową na instancjach Amazon EC2 za Application Load Balancerem (ALB). Aplikacja nasłuchuje na portach 80 i 443 w ALB, który kończy SSL i przekazuje tylko HTTP (port 80) do instancji. ALB znajduje się w publicznych podsieciach powiązanych z listą kontroli dostępu do sieci o nazwie NACL1. Instancje aplikacji znajdują się w prywatnych podsieciach powiązanych z NACL2. Instancja bazy danych Amazon RDS for PostgreSQL (port 5432) znajduje się w oddzielnej prywatnej podsieci powiązanej z NACL3. Wszystkie NACL obecnie zezwalają na cały ruch przychodzący i wychodzący. Które zmiany w listach kontroli dostępu do sieci (NACL) zwiększą bezpieczeństwo przy zachowaniu funkcjonalności?

Poprawna odpowiedź poprawia NACL dla bazy danych (NACL3), ograniczając ruch tylko do niezbędnego. Reguła przychodząca zezwala na połączenia z instancji aplikacji (port 5432), a reguła wychodząca umożliwia odpowiedzi bazy danych do instancji aplikacji na portach efemerycznych (1024-65536). Usunięcie domyślnych reguł zezwalających na wszystko jest kluczowe dla zwiększenia bezpieczeństwa, ponieważ domyślnie NACL są otwarte. Pozostałe opcje są nieprawidłowe: Pierwsza opcja jest nieprecyzyjna, odwołując się do "NACL2" zamiast do bloków CIDR podsieci instancji aplikacji, co jest mniej bezpieczne i może prowadzić do problemów, jeśli NACL2 zostanie zmieniony. Trzecia i czwarta opcja skupiają się na NACL2 (dla instancji aplikacji) i nie adresują kluczowego problemu bezpieczeństwa NACL3 (dla bazy danych), która jest obecnie otwarta na cały ruch.