Например, предположим, что у меня есть экземпляр ec2 и эластичный балансировщик нагрузки, безопасно ли получать HTTPS-трафик на балансировщике нагрузки и пересылать его (в незашифрованном виде) экземпляру.
Я включил минимальный набор разрешений группы безопасности, чтобы балансировщик нагрузки мог взаимодействовать с экземпляром, однако мне неясно, применяются ли эти разрешения на уровне виртуальной машины или на уровне сети. Если только на уровне виртуальной машины, то, предположительно, другие экземпляры в подсети могут прослушивать незашифрованный сетевой трафик.
Для этого и нужен VPC. Вы можете изолировать свой экземпляр в его собственной подсети, и единственный способ получить к нему доступ - это его внутренний IP-адрес. Об этом читайте здесь: http://aws.amazon.com/vpc/
Ваш трафик должен быть безопасным, поскольку на него отправляется только трафик, предназначенный для вашего экземпляра. Хотя, если это конфиденциальные данные, вы можете зашифровать их до экземпляра.
Из https://d0.awsstatic.com/whitepapers/Security/AWS_Security_Whitepaper.pdf (расположен на https://aws.amazon.com/whitepapers/):
Анализ пакетов другими арендаторами: Виртуальный экземпляр, работающий в беспорядочном режиме, не может получать или «прослушивать» трафик, предназначенный для другого виртуального экземпляра. Хотя клиенты могут перевести свои интерфейсы в неразборчивый режим, гипервизор не будет доставлять им трафик, который не адресован им. Сюда входят два виртуальных экземпляра, принадлежащих одному клиенту, даже если они расположены на одном физическом хосте. Такие атаки, как отравление кэша ARP, не работают в EC2. Хотя Amazon EC2 действительно обеспечивает достаточную защиту от непреднамеренных или злонамеренных попыток одного клиента просмотреть данные другого клиента, в качестве стандартной практики клиенты должны шифровать конфиденциальный трафик.