Qual recurso da AWS atua como um firewall no nível da sub-rede dentro de uma VPC?

Network ACLs (Listas de Controle de Acesso à Rede) atuam como um firewall sem estado no nível da sub-rede, controlando o tráfego de entrada e saída para todas as instâncias dentro dessa sub-rede. Elas permitem ou negam tráfego com base em regras numeradas, que são processadas em ordem. Security groups são firewalls com estado que operam no nível da instância, controlando o tráfego de entrada e saída para uma ou mais instâncias. Elastic network interfaces são componentes de rede lógicos que conectam uma instância a uma VPC. AWS WAF (Web Application Firewall) protege aplicações web de exploits comuns, operando na camada de aplicação (camada 7 do modelo OSI), diferente do nível de sub-rede.