Bir danışmanlık firması, müşterileri için AWS hesaplarını yönetmektedir. Bir müşterinin, yeniden mimari oluşturmadan saldırı önleme özelliği eklemesi gerekmektedir. Müşterinin ortamında, iki ABD Bölgesi'nde VPC peering ile birbirine bağlı beş VPC bulunmaktadır ve önümüzdeki 2 yıl içinde daha fazla VPC eklemeyi planlamamaktadırlar. Çözüm, şifrelenmemiş trafiği denetleyebilmelidir. Bu gereksinimleri hangi yaklaşım karşılar?

AWS Network Firewall, saldırı önleme (IPS) yetenekleri sunar ve şifrelenmemiş trafiği denetleyebilir. Dağıtılmış dağıtım modeli, her VPC'ye ayrı bir güvenlik duvarı yerleştirerek trafiğin yerel olarak incelenmesini sağlar. Bu, VPC'ler arası eşleme (VPC peering) senaryolarında trafiğin merkezi bir noktaya yönlendirilmesine gerek kalmadan doğrudan denetlenmesine olanak tanır ve yeniden mimari gereksinimini ortadan kaldırır. Diğer seçenekler: VPC güvenlik grupları ve ağ ACL'leri, temel durum bilgisi olan ve durum bilgisi olmayan paket filtrelemesi sağlar ancak saldırı önleme yetenekleri sunmaz. Merkezi dağıtım modeli, tüm trafiği tek bir güvenlik duvarı VPC'sine yönlendirmeyi gerektirir, bu da VPC peering ile bağlı VPC'ler arasında karmaşık yönlendirme ve ek gecikme yaratır. Bu, yeniden mimari gerektirebilir. AWS Shield, DDoS koruması sağlar ancak saldırı önleme veya şifrelenmemiş trafik denetimi yapmaz.