セキュアなアーキテクチャ設計
セキュリティグループとネットワークACL(NACL)の違いに関する記述として正しいものはどれか。
- AセキュリティグループはステートレスでNACLはステートフルである
- Bセキュリティグループはサブネットレベルで適用され、NACLはインスタンスレベルで適用される
- CNACLは暗黙のdenyルールを持たず、デフォルトで全トラフィックを許可する
- ✓セキュリティグループは許可ルールのみ設定可能であり、NACLは許可と拒否の両方のルールを設定できる
解説
セキュリティグループはインスタンス(ENI)レベルで動作するステートフルなファイアウォールで許可ルールのみ設定可能だが、NACLはサブネットレベルで動作するステートレスなフィルタで許可と拒否の両方のルールを番号順に評価できる。
根拠Amazon VPC - セキュリティグループとネットワークACLの比較(セキュアなアーキテクチャ設計)