Una empresa ejecuta un dominio de Amazon SageMaker AI en una subred pública de una VPC recién creada. La red está configurada y los ingenieros pueden acceder al dominio. La empresa descubrió tráfico sospechoso originado desde una dirección IP específica y necesita bloquear esa IP. ¿Qué cambio en la configuración de red logrará esto?

La opción correcta es crear una regla de entrada de Network ACL (NACL) que deniegue el tráfico de la dirección IP específica. Las NACL operan a nivel de subred y son sin estado, lo que significa que evalúan cada paquete de forma independiente. Son la herramienta adecuada para bloquear tráfico no deseado a nivel de subred antes de que llegue a las instancias. Las otras opciones son incorrectas porque: Los security groups son con estado y operan a nivel de instancia, lo que los hace menos efectivos para bloquear tráfico a nivel de subred. Además, las reglas de security group son permisivas por defecto, no denegatorias. Crear una variante en la sombra y usar SageMaker Inference Recommender no es una solución de seguridad de red; es para pruebas A/B o despliegues de modelos. Las tablas de rutas dirigen el tráfico entre subredes o hacia Internet, no filtran el tráfico entrante de IPs específicas a nivel de subred.