NAT Gateway: Tutte le subnet private utilizzano un NAT Gateway per il traffico Internet in uscita.

Endpoint VPC: Gli accessi a S3 e DynamoDB avvengono tramite endpoint gateway e non lasciano la rete AWS.

Firewall DNS: Il firewall DNS di Route53 Resolver blocca in ambienti di produzione domini di primo livello dannosi e sospetti, oltre a noti domini di botnet C&C e malware.

Ispezione dei pacchetti: Per il traffico in uscita viene effettuata una Deep Packet Inspection per rilevare potenziali trasferimenti di dati dannosi o non autorizzati.

Servizi consentiti: Una whitelist definisce i servizi esterni consentiti (servizio di autenticazione, API cloud, tracciamento errori, monitoraggio).

Registrazione: I log del firewall DNS vengono conservati per 365 giorni in CloudWatch.