Question 5
Domain 1: Design Secure ArchitecturesSebuah perusahaan ingin melakukan **inspeksi mendalam (deep packet inspection)** terhadap semua traffic yang masuk dan keluar VPC mereka, termasuk kemampuan untuk memblokir domain tertentu dan detect intrusion berdasarkan Suricata rules.
Correct answer: B
Explanation
AWS Network Firewall menyediakan inspeksi lalu lintas tingkat paket dan mendukung aturan stateful berbasis Suricata untuk mendeteksi intrusion. Layanan ini juga dapat memblokir domain tertentu melalui rule groups, sehingga cocok untuk memeriksa traffic masuk dan keluar VPC secara mendalam.
Why each option is right or wrong
A. Gunakan Security Groups dengan outbound rules yang ketat
B. Deploy AWS Network Firewall dengan stateful rule groups
AWS Network Firewall is the VPC-native service that performs deep packet inspection on traffic entering and leaving a VPC, and its stateful rule groups support Suricata-compatible rules for intrusion detection and domain-based filtering. In the service model, stateful rules are evaluated against connection state and can match on application-layer content, while stateless/stateful policies can be attached to firewall endpoints deployed in subnets to inspect north-south traffic at the VPC boundary.
C. Gunakan NACL dengan custom rules
D. Aktifkan GuardDuty untuk semua traffic VPC