一家公司在单个 VPC 中运行多个应用程序，这些应用程序位于与 AWS WAF Web ACL 关联的 Application Load Balancer 之后。安全团队发现源自特定公共 IP 范围的端口扫描。安全工程师必须拒绝来自该 IP 范围的请求。哪种解决方案能满足这些要求？

正确答案是向 AWS WAF Web ACL 添加 IP 集匹配规则语句，以阻止来自违规 IP 范围的请求。这是因为 AWS WAF 位于 Application Load Balancer 之前，可以直接检查并阻止来自特定 IP 范围的请求，而无需修改应用程序或基础设施。IP 集匹配规则专门用于根据源 IP 地址进行过滤，非常适合阻止已知的恶意 IP 范围。 向所有安全组添加规则是不可行的，因为安全组通常应用于 EC2 实例，而请求在到达实例之前就已经被 Application Load Balancer 和 WAF 处理了。此外，管理大量安全组规则会变得复杂。在 AWS WAF Web ACL 中创建基于速率的规则主要用于限制来自单个 IP 地址的请求速率，而不是直接阻止特定 IP 范围。配置正则表达式匹配条件并使用模式集通常用于基于请求内容（如 URL、User-Agent 等）进行过滤，而不是基于源 IP 地址。