Un dominio de SageMaker se está ejecutando en una subred pública y la red está configurada correctamente, pero ahora hay tráfico sospechoso originado desde una dirección IP particular. La empresa necesita bloquear el acceso de esa IP al dominio. ¿Qué cambio en la configuración de red logra esto?

La opción correcta es crear una regla de entrada en la ACL de red (Network Access Control List - NACL) que deniegue el tráfico de la IP específica y asociarla a la subred. Las NACL operan a nivel de subred y pueden denegar o permitir tráfico explícitamente, lo que las hace ideales para bloquear IPs maliciosas antes de que lleguen a las instancias. Las otras opciones son incorrectas porque: Un security group opera a nivel de instancia y solo permite tráfico; no tiene reglas de denegación explícitas. Crear una variante en la sombra y usar Inference Recommender no es una solución de seguridad para bloquear tráfico; es para pruebas A/B o despliegues graduales. Las tablas de rutas de la VPC controlan cómo se enruta el tráfico entre subredes o hacia destinos externos, no se utilizan para denegar tráfico entrante de IPs específicas.