Contoso Retail, internet'e yönelik bir Application Load Balancer (ALB) ve aynı genel alt ağlarda başka birkaç genel kullanıma açık hizmet çalıştırmaktadır. Güvenlik ekibinin, yalnızca ALB için değil, bu alt ağlardaki tüm kaynaklar için 198.51.100.0/24 adresinden gelen kötü niyetli trafiği derhal engellemesi gerekiyor. Ne yapmalılar?

Doğru cevap, genel alt ağlarla ilişkili ağ ACL'sine bir gelen engelleme kuralı eklemektir. Ağ ACL'leri (Network Access Control Lists), alt ağ düzeyinde çalışır ve belirtilen IP adresinden gelen tüm trafiği alt ağdaki tüm kaynaklar için engelleyebilir. Bu, kötü niyetli trafiği derhal ve kapsamlı bir şekilde durdurmanın en etkili yoludur. Diğer seçenekler neden yanlış: ALB güvenlik grubuna kural eklemek yalnızca ALB'yi etkiler, alt ağdaki diğer genel hizmetleri etkilemez. AWS WAF, ALB ile ilişkilendirildiğinde yalnızca ALB üzerinden geçen trafiği filtreler, diğer genel hizmetleri korumaz. Ayrıca, WAF genellikle daha karmaşık web tabanlı saldırılar için kullanılırken, bu senaryo daha temel bir IP engelleme gerektirir. Yönlendirme tablosunu değiştirmek, trafiği blackhole yapmak için uygun bir yöntem değildir ve ağ mimarisinde istenmeyen yan etkilere yol açabilir. Ağ ACL'leri bu tür engellemeler için tasarlanmıştır.