ある企業が、Amazon API GatewayとAWS Lambdaを使用してパブリックなサーバーレスアプリケーションを運用しています。最近、不正なボットネットリクエストによりトラフィックが急増しました。ソリューションアーキテクトは、不正なユーザーからのリクエストをブロックするために、どのような手順を実行すべきですか？（2つ選択してください。）

API Gatewayの使用量プランとAPIキーは、特定のクライアントからのAPIアクセスを制御し、不正な利用を制限する効果的な方法です。正規のユーザーにのみAPIキーを配布することで、ボットネットのような不正なトラフィックをブロックできます。AWS WAFは、ウェブアプリケーションの脆弱性を悪用した攻撃や、ボットネットによる大量のリクエストなど、悪意のあるトラフィックを検出してブロックするためのマネージドサービスです。これにより、API Gatewayへの不正なアクセスを効果的に軽減できます。Lambda関数内でIPアドレスをブロックするロジックを追加するのは、スケーラビリティが低く、メンテナンスが困難なため不適切です。パブリックAPIをプライベートAPIに変換すると、インターネットからのアクセスが完全に遮断され、正規のユーザーもアクセスできなくなります。IAMロールは認証と認可のメカニズムであり、ボットネット対策には直接的ではありません。