GuardDuty informa de tráfico de red saliente sospechoso desde una instancia EC2 e identifica una dirección IP externa desconocida como destino. El administrador necesita evitar el tráfico a esa IP externa de inmediato. ¿Qué acción logrará esto?

La opción correcta es crear o actualizar una ACL de red en la subred con una regla de denegación de salida para la dirección IP externa. Las ACL de red operan a nivel de subred y son sin estado, lo que significa que evalúan cada paquete de forma independiente. Una regla de denegación de salida en una ACL de red bloqueará inmediatamente el tráfico a la IP especificada para todas las instancias dentro de esa subred. Las otras opciones son incorrectas porque: Crear un nuevo security group y adjuntarlo a la instancia EC2 no es la solución más eficiente. Los security groups son con estado y operan a nivel de instancia. Si ya hay un security group que permite el tráfico, agregar otro que lo deniegue podría no tener el efecto deseado sin modificar el security group existente. Analizar los registros de flujo de VPC con Amazon Athena es un paso de investigación, no una acción inmediata para bloquear el tráfico. Los security groups no se aplican a nivel de VPC; se aplican a instancias EC2 o interfaces de red.