GuardDuty报告了来自EC2实例的可疑出站网络流量，并将一个陌生的外部IP地址识别为目标。管理员需要立即阻止流向该外部IP的流量。哪项操作可以实现此目的？

正确答案是创建或更新子网上的网络ACL，添加针对该外部IP地址的出站拒绝规则。网络ACL（NACL）在子网级别运行，可以对入站和出站流量进行无状态过滤。添加一条出站拒绝规则，目标为可疑的外部IP地址，可以立即阻止来自子网内所有EC2实例流向该IP的流量，从而有效响应GuardDuty的警报。 其他选项： 创建新的安全组并附加到EC2实例：安全组在实例级别运行，是状态化的。虽然可以阻止流量，但需要修改每个受影响的EC2实例的安全组，这在紧急情况下可能效率较低，且如果实例数量众多则操作复杂。 使用Amazon Athena分析VPC流日志：Athena用于分析日志，而不是直接阻止流量。虽然分析有助于理解攻击，但不能立即阻止威胁。 创建一个安全组来阻止该外部IP，并在VPC级别应用它：安全组不能在VPC级别应用。它们必须与EC2实例或ENI关联。