Contoso Retail exécute un Application Load Balancer (ALB) accessible sur Internet et plusieurs autres services accessibles au public dans les mêmes sous-réseaux publics. L'équipe de sécurité doit bloquer immédiatement le trafic abusif provenant de 198.51.100.0/24 pour toutes les ressources de ces sous-réseaux, et pas seulement pour l'ALB. Que doivent-ils faire ?

L'ajout d'une règle de refus entrante à la liste de contrôle d'accès réseau (ACL) associée aux sous-réseaux publics est la solution la plus efficace pour bloquer immédiatement le trafic abusif de 198.51.100.0/24 pour toutes les ressources de ces sous-réseaux. Les ACL réseau opèrent au niveau du sous-réseau et filtrent le trafic avant qu'il n'atteigne les instances ou les services individuels. Bloquer le groupe de sécurité de l'ALB ne protégerait que l'ALB, pas les autres services publics. Associer une ACL web AWS WAF à l'ALB est une bonne solution pour l'ALB, mais elle ne protégerait pas les autres ressources directement exposées. Modifier la table de routage pour "blackholer" le trafic est une mesure radicale qui pourrait affecter le routage général et n'est pas la méthode standard pour bloquer des adresses IP spécifiques au niveau de la sécurité.