Um transit gateway envia logs de fluxo para um grupo do CloudWatch Logs. Uma função Lambda analisa os logs e publica notificações do SNS quando uma VPC gera tráfego que o transit gateway descarta. Cada notificação inclui o ID da conta, o ID da VPC e o total de pacotes descartados. Uma nova função Lambda inscrita no tópico do SNS deve interromper automaticamente o tráfego identificado de sair da VPC de origem, aplicando uma ACL de rede às sub-redes de anexo do transit gateway nessa VPC. Qual abordagem satisfaz esse requisito?

Para interromper o tráfego de saída de uma VPC, uma ACL de rede (NACL) deve ser aplicada às sub-redes de anexo do Transit Gateway com uma regra de saída (outbound). Essa regra deve bloquear o tráfego para os endereços IP de destino que o Transit Gateway descartou. Portanto, a função Lambda existente precisa incluir os endereços IP de destino do tráfego descartado na notificação do SNS. A nova função Lambda usará esses IPs de destino para criar a regra de saída na NACL. As opções que mencionam endereços IP de origem estão incorretas porque o objetivo é bloquear o tráfego que sai da VPC para um destino específico, não o tráfego que entra ou o tráfego de uma origem específica dentro da VPC. As opções que sugerem regras de entrada (inbound) estão incorretas porque uma regra de entrada controlaria o tráfego para a sub-rede, não o tráfego da sub-rede para fora.