Un'azienda gestisce un dominio Amazon SageMaker AI in una sottorete pubblica di una VPC appena creata. La rete è configurata e gli ingegneri possono accedere al dominio. L'azienda ha scoperto traffico sospetto proveniente da uno specifico indirizzo IP e deve bloccare tale IP. Quale modifica alla configurazione di rete consentirà di raggiungere questo obiettivo?

La risposta corretta è creare una regola in entrata per la Network ACL (NACL) che neghi il traffico dallo specifico indirizzo IP. Le NACL operano a livello di sottorete e sono stateless, il che significa che valutano ogni pacchetto in entrata e in uscita indipendentemente. Questo le rende ideali per bloccare specifici indirizzi IP a livello di sottorete, prima che il traffico raggiunga le istanze o i servizi all'interno della sottorete. Le altre opzioni sono meno efficaci o inappropriate: I Security Group sono stateful e operano a livello di istanza o interfaccia di rete. Anche se possono negare il traffico, una NACL è più adatta per blocchi a livello di sottorete. Creare una shadow variant e usare SageMaker Inference Recommender è una soluzione per testare modelli, non per bloccare traffico malevolo. Le tabelle di routing gestiscono il percorso del traffico tra sottoreti o verso l'esterno della VPC, non sono usate per bloccare il traffico in entrata da specifici IP a livello di sottorete.