Uma empresa executa um domínio de IA do Amazon SageMaker em uma sub-rede pública de uma VPC recém-criada. A rede está configurada e os engenheiros podem acessar o domínio. A empresa descobriu tráfego suspeito originado de um endereço IP específico e precisa bloquear esse IP. Qual alteração na configuração de rede realizará isso?

A ACL de rede (NACL) opera no nível da sub-rede e é stateless, o que significa que ela avalia todas as regras para o tráfego de entrada e saída, independentemente de uma conexão existente. Ao criar uma regra de entrada na NACL que nega o tráfego de um endereço IP específico e aplicá-la à sub-rede onde o domínio do SageMaker reside, você bloqueia efetivamente o tráfego antes que ele chegue às instâncias. Security groups são stateful e operam no nível da instância, permitindo ou negando tráfego, mas não possuem uma funcionalidade explícita de "negar" como a NACL, onde a ordem das regras é crucial. Variantes shadow e tabelas de rotas não são mecanismos de segurança para bloquear IPs maliciosos diretamente.