Een bedrijf exploiteert een two-tier applicatie voor beeldverwerking. De applicatie maakt gebruik van twee Availability Zones, elk met één publiek subnet en één privé subnet. Een Application Load Balancer (ALB) voor de webtier gebruikt de publieke subnets. Amazon EC2-instances voor de applicatietier gebruiken de privé subnets. Gebruikers melden dat de applicatie langzamer werkt dan verwacht. Een beveiligingsaudit van de logbestanden van de webserver toont aan dat de applicatie miljoenen onrechtmatige verzoeken ontvangt van een klein aantal IP-adressen. Een solutions architect moet het onmiddellijke prestatieprobleem oplossen terwijl het bedrijf een meer permanente oplossing onderzoekt. Wat moet de solutions architect aanbevelen om aan deze vereiste te voldoen?

De netwerk-ACL (Network Access Control List) is de juiste keuze omdat deze op subnetniveau werkt en zowel toestaande (allow) als weigerende (deny) regels ondersteunt. Door een inbound deny-regel toe te voegen voor de kwaadwillende IP-adressen in de netwerk-ACL van de publieke subnets (waar de ALB zich bevindt), worden de onrechtmatige verzoeken geblokkeerd voordat ze de ALB en de EC2-instances bereiken, wat de prestatieproblemen onmiddellijk verhelpt. Het wijzigen van de security group van de webtier is incorrect omdat security groups geen deny-regels ondersteunen; ze werken alleen met allow-regels. Het wijzigen van de security group of netwerk-ACL van de applicatietier is ook incorrect, omdat de onrechtmatige verzoeken de applicatietier niet direct bereiken; ze worden eerst verwerkt door de webtier (ALB).