Define security best practices for Virtual Private Cloud (Amazon VPC) and other network security considerations. Establish internal processes regarding how to secure traffic within VPC, including: • Security Groups to restrict traffic between Internet and Amazon VPC • Security Groups to restrict traffic within the Amazon VPC • Network ACL to restrict inbound and outbound traffic • Other AWS security services to protect network security Please provide the following as evidence: • Written descriptions/documents on network security best practices met the criteria defined above. • Description of how network security is implementation in one (1) of the submitted customer examples.

가상 사설 클라우드(Amazon VPC, Virtual Private Cloud) 및 기타 네트워크 보안 고려 사항에 대한 보안 모범 사례를 정의하십시오. 다음을 포함하여 VPC 내 트래픽 보안에 관한 내부 프로세스를 수립하십시오: • 인터넷과 Amazon VPC 간 트래픽을 제한하는 보안 그룹(Security Groups) • Amazon VPC 내부 트래픽을 제한하는 보안 그룹(Security Groups) • 인바운드 및 아웃바운드 트래픽을 제한하는 네트워크 ACL(Network ACL) • 네트워크 보안을 보호하기 위한 기타 AWS 보안 서비스 다음 사항을 증빙 자료로 제출하십시오: • 위에 정의된 기준을 충족하는 네트워크 보안 모범 사례에 대한 문서화된 설명/문서 • 제출된 고객 사례 중 하나(1)에서 네트워크 보안이 어떻게 구현되었는지에 대한 설명

This engagement delivered a serverless architecture using S3, CloudFront, and Lambda without VPC networking requirements. CloudFront and S3 security is managed through bucket policies, Origin Access Control, and AWS WAF rules rather than VPC security controls. Lambda functions processing S3 events execute outside VPC to optimize performance and eliminate cold start delays. --- Our network security framework implements defense-in-depth through layered controls across VPC boundaries. We enforce strict traffic segregation using security groups as stateful firewalls, complemented by network ACLs for subnet-level filtering. Each tier of the application stack maintains dedicated security groups with principle of least privilege access, while VPC flow logs enable comprehensive traffic analysis through CloudWatch. Implementation Example - Kotech Market Technology Transfer Platform: Deployed multi-tier microservices architecture with public and private subnets across multiple availability zones. ECS container services (technology search, matching engine, document processing, notification service) reside in private subnets with dedicated security groups per service, restricting inter-service communication to required ports only through AWS Cloud Map service discovery. RDS database instances operate in isolated private subnets accessible only from authorized ECS tasks through database-specific security groups. API Gateway integrates with private microservices through VPC Link, eliminating direct internet exposure of backend services. Network ACLs provide subnet-level protection with deny rules for unauthorized traffic patterns. Security groups implement principle of least privilege: the matching engine security group accepts connections only from the technology search service on specific ports, document processing service accepts only from SQS-triggered ECS tasks, and RDS security groups whitelist only application tier services. VPC Flow Logs capture all network traffic for security analysis and compliance auditing, with automated CloudWatch alarms for anomalous traffic patterns. --- Our network security framework implements defense-in-depth through layered controls across VPC boundaries. We enforce strict traffic segregation using security groups as stateful firewalls, complemented by network ACLs for subnet-level filtering. Each tier of the application stack maintains dedicated security groups with principle of least privilege access, while VPC flow logs enable comprehensive traffic analysis through CloudWatch. Implementation Example - Happy Edu Tech AI-Powered Math Learning Platform: Deployed multi-tier architecture with public and private subnets across multiple availability zones. GPU-based AI inference instances and ElastiCache clusters reside in private subnets with no direct internet access, communicating through VPC endpoints for S3 and SQS access. Security groups restrict ElastiCache access exclusively to Lambda functions and GPU instances, while GPU instances accept connections only from authorized Lambda functions for AI model inference requests. Network ACLs provide subnet-level protection, denying unauthorized inbound traffic and restricting outbound traffic to required services only. VPC Flow Logs capture all network traffic for security analysis and troubleshooting, integrated with CloudWatch for automated anomaly detection. Lambda functions accessing VPC resources are deployed with dedicated security groups ensuring least-privilege network access to ElastiCache and other private resources. Network Security Documentation: https://wishket-team.notion.site/network-security-best-practices --- This engagement used Amazon Lightsail, a managed WordPress hosting service that abstracts VPC configuration and handles network security automatically. Lightsail manages security groups, firewall rules, and network isolation without requiring manual VPC security configuration. Network security is handled through Lightsail's simplified security interface rather than traditional VPC security controls. Our VPC security framework is documented and demonstrated in our Happy Edu Tech AI Platform implementation.

다음은 자연스러운 한국어 번역입니다: 이번 프로젝트에서는 VPC 네트워킹 요구사항 없이 S3, CloudFront, Lambda를 활용한 서버리스 아키텍처를 구축했습니다. CloudFront와 S3 보안은 VPC 보안 제어 대신 버킷 정책(bucket policies), 오리진 액세스 제어(Origin Access Control), AWS WAF 규칙을 통해 관리됩니다. S3 이벤트를 처리하는 Lambda 함수는 성능 최적화와 콜드 스타트 지연 제거를 위해 VPC 외부에서 실행됩니다. --- 저희 네트워크 보안 프레임워크는 VPC 경계 전반에 걸친 계층화된 제어를 통해 다층 방어(defense-in-depth)를 구현합니다. 상태 기반 방화벽(stateful firewall) 역할을 하는 보안 그룹을 사용하여 엄격한 트래픽 분리를 시행하고, 서브넷 수준 필터링을 위한 네트워크 ACL로 이를 보완합니다. 애플리케이션 스택의 각 계층은 최소 권한 원칙(principle of least privilege) 액세스를 적용한 전용 보안 그룹을 유지하며, VPC 플로우 로그(flow logs)를 통해 CloudWatch에서 포괄적인 트래픽 분석을 수행할 수 있습니다. 구현 사례 - 코테크 마켓 기술이전 플랫폼: 여러 가용영역에 걸쳐 퍼블릭 및 프라이빗 서브넷을 가진 다중 계층 마이크로서비스 아키텍처를 배포했습니다. ECS 컨테이너 서비스들(기술 검색, 매칭 엔진, 문서 처리, 알림 서비스)은 서비스별 전용 보안 그룹을 가진 프라이빗 서브넷에 위치하며, AWS Cloud Map 서비스 디스커버리를 통해 필요한 포트에서만 서비스 간 통신을 제한합니다. RDS 데이터베이스 인스턴스는 데이터베이스 전용 보안 그룹을 통해 승인된 ECS 작업에서만 접근 가능한 격리된 프라이빗 서브넷에서 운영됩니다. API Gateway는 VPC Link를 통해 프라이빗 마이크로서비스와 연동하여 백엔드 서비스의 직접적인 인터넷 노출을 방지합니다. 네트워크 ACL은 승인되지 않은 트래픽 패턴에 대한 거부 규칙으로 서브넷 수준 보호를 제공합니다. 보안 그룹은 최소 권한 원칙을 구현합니다: 매칭 엔진 보안 그룹은 기술 검색 서비스로부터 특정 포트에서만 연결을 수락하고, 문서 처리 서비스는 SQS 트리거된 ECS 작업에서만 수락하며, RDS 보안 그룹은 애플리케이션 계층 서비스만 허용합니다. VPC 플로우 로그는 보안 분석 및 컴플라이언스 감사를 위해 모든 네트워크 트래픽을 캡처하며, 이상 트래픽 패턴에 대한 자동화된 CloudWatch 알람을 제공합니다. --- 저희 네트워크 보안 프레임워크는 VPC 경계 전반에 걸친 계층화된 제어를 통해 다층 방어를 구현합니다. 상태 기반 방화벽 역할을 하는 보안 그룹을 사용하여 엄격한 트래픽 분리를 시행하고, 서브넷 수준 필터링을 위한 네트워크 ACL로 이를 보완합니다. 애플리케이션 스택의 각 계층은 최소 권한 원칙 액세스를 적용한 전용 보안 그룹을 유지하며, VPC 플로우 로그를 통해 CloudWatch에서 포괄적인 트래픽 분석을 수행할 수 있습니다. 구현 사례 - 해피 에듀테크 AI 기반 수학 학습 플랫폼: 여러 가용영역에 걸쳐 퍼블릭 및 프라이빗 서브넷을 가진 다중 계층 아키텍처를 배포했습니다. GPU 기반 AI 추론 인스턴스와 ElastiCache 클러스터는 직접적인 인터넷 액세스 없이 프라이빗 서브넷에 위치하며, S3 및 SQS 액세스를 위해 VPC 엔드포인트를 통해 통신합니다. 보안 그룹은 Lambda 함수와 GPU 인스턴스에서만 ElastiCache 액세스를 제한하며, GPU 인스턴스는 AI 모델 추론 요청을 위해 승인된 Lambda 함수로부터만 연결을 수락합니다. 네트워크 ACL은 서브넷 수준 보호를 제공하여 승인되지 않은 인바운드 트래픽을 거부하고 아웃바운드 트래픽을 필요한 서비스에만 제한합니다. VPC 플로우 로그는 보안 분석 및 문제 해결을 위해 모든 네트워크 트래픽을 캡처하며, 자동화된 이상 탐지를 위해 CloudWatch와 통합됩니다. VPC 리소스에 액세스하는 Lambda 함수는 ElastiCache 및 기타 프라이빗 리소스에 대한 최소 권한 네트워크 액세스를 보장하는 전용 보안 그룹과 함께 배포됩니다. 네트워크 보안 문서: https://wishket-team.notion.site/network-security-best-practices --- 이번 프로젝트에서는 VPC 구성을 추상화하고 네트워크 보안을 자동으로 처리하는 관리형 WordPress 호스팅 서비스인 Amazon Lightsail을 사용했습니다. Lightsail은 수동 VPC 보안 구성 없이 보안 그룹, 방화벽 규칙, 네트워크 격리를 관리합니다. 네트워크 보안은 기존의 VPC 보안 제어가 아닌 Lightsail의 간소화된 보안 인터페이스를 통해 처리됩니다. 저희 VPC 보안 프레임워크는 해피 에듀테크 AI 플랫폼 구현에서 문서화되고 실증되었습니다.