Компания использует рабочую нагрузку в одном AWS VPC. Архитектура включает несколько интерфейсных VPC endpoint'ов для сервисов AWS (например, Amazon CloudWatch Logs и AWS KMS). Все endpoint'ы используют одну и ту же группу безопасности, которая не прикреплена к каким-либо другим ресурсам. Проверка безопасности показала, что общая группа безопасности является чрезмерно разрешительной. Компания хочет ужесточить правила группы безопасности, но при этом не должна нарушать доступ ресурсов VPC к сервисам AWS через интерфейсные endpoint'ы. Текущие правила группы безопасности: Options: 1. • Входящие - Правило 1: TCP 443 из 0.0.0.0/0 • Входящие - Правило 2: TCP 443 из VPC CIDR • Исходящие - Правило 1: Все протоколы/порты в 0.0.0.0/0 Какое правило или правила следует удалить, чтобы соответствовать этим требованиям?

Правильный ответ: Входящие - Правило 1 и Исходящие - Правило 1. Интерфейсные VPC endpoint'ы используют частные IP-адреса в вашей VPC, поэтому для доступа к ним не требуется маршрутизация через интернет-шлюз или NAT-шлюз. Входящие - Правило 1 (TCP 443 из 0.0.0.0/0) является избыточным, поскольку доступ к endpoint'ам осуществляется изнутри VPC. Правило Входящие - Правило 2 (TCP 443 из VPC CIDR) уже разрешает необходимый входящий трафик из вашей VPC. Исходящие - Правило 1 (Все протоколы/порты в 0.0.0.0/0) является чрезмерно разрешительным. Группы безопасности по умолчанию разрешают весь исходящий трафик. Для VPC endpoint'ов достаточно исходящего трафика, разрешенного по умолчанию, или более специфичного правила, если требуется дополнительное ограничение. Удаление этого правила не нарушит работу, так как исходящий трафик разрешен по умолчанию. Остальные варианты не полностью соответствуют требованиям безопасности или нарушат функциональность.