Bir şirket, bir Application Load Balancer (ALB) arkasındaki Amazon EC2 örneklerinde bir web uygulaması çalıştırıyor. Uygulama, ALB'de 80 ve 443 numaralı bağlantı noktalarını dinler, SSL'i sonlandırır ve örneklere yalnızca HTTP'yi (80 numaralı bağlantı noktası) iletir. ALB, NACL1 adlı bir ağ ACL'siyle ilişkili genel alt ağlardadır. Uygulama örnekleri, NACL2 ile ilişkili özel alt ağlardadır. Bir Amazon RDS for PostgreSQL DB örneği (5432 numaralı bağlantı noktası), NACL3 ile ilişkili ayrı bir özel alt ağdadır. Tüm NACL'ler şu anda tüm gelen ve giden trafiğe izin vermektedir. İşlevselliği korurken güvenliği sıkılaştıracak ağ ACL değişiklikleri nelerdir?

Doğru cevap, NACL3'ü güncelleyerek uygulama örnekleri alt ağlarından RDS'ye gelen 5432 numaralı bağlantı noktası trafiğine ve RDS'den uygulama örnekleri alt ağlarına giden geçici bağlantı noktası trafiğine izin vermektir. Ağ ACL'leri durum bilgisi olmayan olduğundan, her iki yöndeki trafiğe de açıkça izin verilmelidir. RDS'ye yalnızca uygulama sunucularının erişmesi gerektiğinden, gelen kural hedefi olarak uygulama örneği alt ağlarının CIDR blokları belirtilmelidir. Giden kural, yanıt trafiği için 1024-65536 aralığındaki geçici bağlantı noktalarına izin vermelidir. Varsayılan tümüne izin veren kuralların kaldırılması, güvenliği sıkılaştırır. Diğer seçenekler, NACL2'yi gereksiz yere güncellemeyi veya RDS'ye gelen ve giden trafiği yanlış yapılandırmayı önerir.