Uma empresa opera um aplicativo de duas camadas para processamento de imagens. O aplicativo usa duas Availability Zones, cada uma com uma sub-rede pública e uma sub-rede privada. Um Application Load Balancer (ALB) para a camada web usa as sub-redes públicas. As instâncias do Amazon EC2 para a camada de aplicativo usam as sub-redes privadas. Os usuários relatam que o aplicativo está funcionando mais lentamente do que o esperado. Uma auditoria de segurança dos arquivos de log do servidor web mostra que o aplicativo está recebendo milhões de solicitações ilegítimas de um pequeno número de endereços IP. Um arquiteto de soluções precisa resolver o problema imediato de desempenho enquanto a empresa investiga uma solução mais permanente. O que o arquiteto de soluções deve recomendar para atender a esse requisito?

A Network Access Control List (NACL) opera no nível da sub-rede e pode negar explicitamente o tráfego de endereços IP específicos. Ao adicionar uma regra de negação de entrada para os endereços IP maliciosos nas NACLs das sub-redes da camada web (onde o ALB está localizado), o tráfego indesejado será bloqueado antes de chegar ao Application Load Balancer e às instâncias EC2, resolvendo o problema de desempenho imediato. Os Security Groups operam no nível da instância e, por padrão, não possuem regras de negação explícitas; eles permitem apenas o tráfego especificado. Modificar o Security Group da camada web não seria eficaz para negar explicitamente o tráfego. Modificar as ACLs ou Security Groups da camada de aplicativo não resolveria o problema, pois o tráfego ilegítimo já teria passado pelo ALB e consumido recursos da camada web.