Ein Transit Gateway sendet Flow Logs an eine CloudWatch Logs-Gruppe. Eine Lambda-Funktion analysiert die Logs und veröffentlicht SNS-Benachrichtigungen, wenn eine VPC Traffic generiert, den das Transit Gateway verwirft. Jede Benachrichtigung enthält die Konto-ID, die VPC-ID und die Gesamtzahl der verworfenen Pakete. Eine neue Lambda-Funktion, die dem SNS-Thema abonniert ist, muss den identifizierten Traffic automatisch daran hindern, die ursprüngliche VPC zu verlassen, indem sie eine Netzwerk-ACL auf die Transit Gateway-Attachment-Subnetze in dieser VPC anwendet. Welcher Ansatz erfüllt diese Anforderung?

Die korrekte Option ist, die Ziel-IP-Adressen des verworfenen Traffics in die SNS-Benachrichtigung aufzunehmen und die neue Lambda-Funktion eine ausgehende Netzwerk-ACL-Regel mit diesen Ziel-IP-Adressen erstellen zu lassen. Eine Netzwerk-ACL ist zustandslos und wird auf Subnetz-Ebene angewendet. Um zu verhindern, dass Traffic die VPC verlässt (ausgehend), muss die ausgehende Regel der Netzwerk-ACL auf die Ziel-IP-Adressen des Traffics angewendet werden, der verworfen werden soll. Die anderen Optionen sind falsch, da sie entweder die falschen IP-Adressen (Quell-IP) oder die falsche Richtung (eingehend) für das gewünschte Blockieren des ausgehenden Traffics vorschlagen. Eingehende Regeln würden den Traffic blockieren, der in das Subnetz eintritt, nicht den, der es verlässt.