Contoso Retail gestisce un Application Load Balancer (ALB) rivolto a Internet e diversi altri servizi pubblici nelle stesse sottoreti pubbliche. Il team di sicurezza deve bloccare immediatamente il traffico abusivo proveniente da 198.51.100.0/24 per tutte le risorse in quelle sottoreti, non solo per l'ALB. Cosa dovrebbero fare?

La risposta corretta è aggiungere una regola di negazione in entrata nella network ACL associata alle sottoreti pubbliche per bloccare 198.51.100.0/24. Le Network ACL (NACL) operano a livello di sottorete e sono stateless, il che significa che bloccano il traffico sia in entrata che in uscita se non esplicitamente consentito. Poiché il requisito è bloccare il traffico per tutte le risorse in quelle sottoreti, una NACL è lo strumento più efficace e granulare per questo scopo. Le altre opzioni sono meno efficaci: Aggiungere una regola di negazione al gruppo di sicurezza dell'ALB bloccherebbe il traffico solo per l'ALB, non per gli altri servizi nelle sottoreti. I gruppi di sicurezza sono stateful e operano a livello di istanza/interfaccia di rete. Associare una web ACL di AWS WAF all'ALB bloccherebbe il traffico solo a livello di applicazione per l'ALB, non per tutti i servizi e non a livello di rete per le sottoreti. Modificare la tabella di routing per le sottoreti per "blackhole" l'IP bloccherebbe il traffico a livello di routing, ma è una soluzione più complessa e potenzialmente più rischiosa da implementare e gestire rispetto a una NACL per un blocco specifico.