Компания запускает веб-приложение на инстансах Amazon EC2 за Application Load Balancer (ALB). Приложение прослушивает порты 80 и 443 на ALB, который терминирует SSL и перенаправляет только HTTP (порт 80) на инстансы. ALB находится в публичных подсетях, связанных с сетевым ACL под названием NACL1. Инстансы приложения находятся в частных подсетях, связанных с NACL2. Инстанс базы данных Amazon RDS for PostgreSQL (порт 5432) находится в отдельной частной подсети, связанной с NACL3. Все NACL в настоящее время разрешают весь входящий и исходящий трафик. Какие изменения в сетевом ACL усилят безопасность, сохраняя при этом функциональность?

Правильный ответ фокусируется на NACL3, который связан с подсетью базы данных RDS. Для усиления безопасности NACL3 должен разрешать входящий трафик на порт 5432 (PostgreSQL) только из CIDR-блоков подсетей, где находятся инстансы приложения. Это ограничивает, кто может подключаться к базе данных. Исходящий трафик из RDS должен быть разрешен на эфемерные порты (1024-65535) обратно к инстансам приложения, чтобы обеспечить двустороннюю связь. Удаление правил по умолчанию, разрешающих весь трафик, является ключевым шагом для реализации принципа наименьших привилегий. Остальные варианты неверны, потому что: Первый вариант использует NACL2 в качестве источника/назначения, что не является CIDR-блоком и не является корректным способом ссылки в правилах NACL. Третий и четвертый варианты предлагают изменения для NACL2, но не затрагивают NACL3, который является наиболее критичным для защиты базы данных. Кроме того, они не полностью реализуют принцип наименьших привилегий.