NAT Gateway: Tutte le subnet private utilizzano un NAT Gateway per il traffico Internet in uscita.

Endpoint VPC: Gli accessi a S3 e DynamoDB avvengono tramite endpoint gateway e non lasciano la rete AWS.

Firewall DNS (controllo di uscita attuale): Il firewall DNS di Route 53 Resolver applica una whitelist di domini e blocca in ambienti di produzione domini di primo livello dannosi e sospetti, oltre a noti domini di botnet C&C e malware.

Ispezione dei pacchetti (in fase di introduzione): La Deep Packet Inspection del traffico in uscita — per rilevare potenziali trasferimenti di dati dannosi o non autorizzati — è un controllo di uscita aggiuntivo che stiamo attualmente introducendo.

Servizi consentiti: Una whitelist definisce i servizi esterni consentiti (servizio di autenticazione, API cloud, tracciamento errori, monitoraggio).

Gateway Azure OpenAI: In ogni ambiente di produzione, il gateway Azure OpenAI (Azure API Management) accetta traffico in ingresso esclusivamente dall’indirizzo IP di uscita (egress) del backend di amaise — il gateway IA è quindi raggiungibile solo dal backend di amaise, non dalla rete Internet pubblica.

Registrazione: I log del firewall DNS vengono conservati per 365 giorni in CloudWatch.