Ein Unternehmen betreibt eine zweistufige Anwendung zur Bildverarbeitung. Die Anwendung nutzt zwei Availability Zones, jede mit einem öffentlichen und einem privaten Subnetz. Ein Application Load Balancer (ALB) für die Web-Schicht verwendet die öffentlichen Subnetze. Amazon EC2-Instances für die Anwendungsschicht verwenden die privaten Subnetze. Benutzer berichten, dass die Anwendung langsamer als erwartet läuft. Eine Sicherheitsprüfung der Webserver-Protokolldateien zeigt, dass die Anwendung Millionen von unrechtmäßigen Anfragen von einer kleinen Anzahl von IP-Adressen erhält. Ein Solutions Architect muss das unmittelbare Leistungsproblem beheben, während das Unternehmen eine dauerhaftere Lösung untersucht. Was sollte der Solutions Architect empfehlen, um diese Anforderung zu erfüllen?

Die Netzwerk-ACL (NACL) ist eine zustandslose Firewall auf Subnetz-Ebene, die eingehenden und ausgehenden Datenverkehr steuert. Durch das Hinzufügen einer Ablehnungsregel für die schädlichen IP-Adressen in der NACL der Web-Schicht (öffentliche Subnetze) wird der Datenverkehr blockiert, bevor er die EC2-Instanzen erreicht. Dies reduziert die Last auf den Webservern sofort und verbessert die Leistung. Sicherheitsgruppen sind zustandsbehaftet und auf Instanz-Ebene. Eine Ablehnungsregel in einer Sicherheitsgruppe ist nicht möglich; Sicherheitsgruppen erlauben nur. Selbst wenn Ablehnungen möglich wären, würde der Datenverkehr die Instanz erreichen, bevor er gefiltert wird, was die Leistungsprobleme nicht sofort löst. Die Anwendungsschicht zu ändern, wäre ineffektiv, da die Angriffe auf die Web-Schicht abzielen und die Anwendungsschicht nur den Datenverkehr von der Web-Schicht empfängt.