Contoso Retail использует Application Load Balancer (ALB), обращенный к интернету, и несколько других общедоступных сервисов в тех же публичных подсетях. Команде безопасности необходимо немедленно заблокировать вредоносный трафик, исходящий из 198.51.100.0/24, для всех ресурсов в этих подсетях, а не только для ALB. Что им следует сделать?

Правильный ответ — добавление правила запрета входящего трафика в сетевой ACL (NACL), связанный с публичными подсетями. NACL работают на уровне подсети и применяются ко всему трафику, входящему и исходящему из подсети, независимо от конкретного ресурса. Это позволяет немедленно заблокировать вредоносный трафик для всех ресурсов в этих подсетях, как того требует команда безопасности. Добавление правила запрета в группу безопасности ALB заблокирует трафик только для ALB, но не для других общедоступных сервисов в тех же подсетях. Связывание веб-ACL AWS WAF с ALB также заблокирует трафик только для ALB. Изменение таблицы маршрутизации для отбрасывания трафика из 198.51.100.0/24 не является стандартным или эффективным способом блокировки вредоносного трафика на уровне подсети и может привести к непредсказуемому поведению маршрутизации.