Firma używa obecnie load balancera do dystrybucji ruchu do instancji EC2 w jednej Strefie Dostępności. Firma chce przebudować rozwiązanie, aby spełnić następujące potrzeby: przychodzące żądania muszą być filtrowane pod kątem typowych luk w zabezpieczeniach sieciowych, odrzucone żądania muszą być przekazywane do zewnętrznej aplikacji audytowej, a wszystkie zasoby muszą być wysoce dostępne. Która architektura spełnia te wymagania?

Poprawna odpowiedź spełnia wszystkie wymagania. Użycie grupy Auto Scaling Multi-AZ z ALB zapewnia wysoką dostępność i skalowalność. AWS WAF z web ACL i subskrypcją AWS Managed Rules skutecznie filtruje ruch pod kątem typowych luk w zabezpieczeniach sieciowych. Integracja logowania WAF z Amazon Kinesis Data Firehose, który ma zewnętrzną aplikację audytową jako miejsce docelowe, gwarantuje przekazywanie odrzuconych żądań do audytu w czasie zbliżonym do rzeczywistego. Pozostałe opcje są niekompletne lub nieefektywne: Pierwsza opcja nie zapewnia przekazywania odrzuconych żądań do audytu w sposób efektywny i nie wykorzystuje WAF do tego celu. Amazon Inspector służy do oceny bezpieczeństwa, a nie do filtrowania ruchu i przekazywania odrzuconych żądań. Druga opcja nie zapewnia wysokiej dostępności (nie wspomina o Multi-AZ ani Auto Scaling) i używa CloudWatch Logs z Lambda do przesyłania logów, co jest mniej efektywne dla strumieniowego przesyłania danych niż Kinesis Data Firehose. Trzecia opcja nie zapewnia wysokiej dostępności (nie wspomina o Multi-AZ ani Auto Scaling).