一個 transit gateway 將流量日誌傳送到 CloudWatch Logs 群組。一個 Lambda 會分析這些日誌，並在 VPC 產生 transit gateway 丟棄的流量時發布 SNS 通知。每個通知都包含帳戶 ID、VPC ID 和丟棄的封包總數。一個訂閱了 SNS 主題的新 Lambda 必須透過將網路 ACL 應用於該 VPC 中的 transit gateway 附件子網路，自動阻止已識別的流量離開原始 VPC。哪種方法能滿足此要求？

當 Transit Gateway 丟棄流量時，表示該流量正嘗試離開 VPC。為了阻止此類流量，需要應用一個出站網路 ACL 規則。網路 ACL 是無狀態的，因此必須明確阻止出站流量。由於目標是阻止流量離開原始 VPC，因此需要識別被丟棄流量的目的地 IP 位址，並將其用於建立出站規則。修改現有的 Lambda 以包含目的地 IP 位址，能讓新的 Lambda 根據這些資訊建立精確的出站網路 ACL 規則，從而有效地阻止未經授權的流量。 其他選項不正確的原因： 包含來源 IP 位址並建立入站或出站規則，無法阻止流量離開 VPC。來源 IP 是流量的發起者，而不是目標。 包含目的地 IP 位址但建立入站規則，無法阻止流量離開 VPC。入站規則控制進入子網路的流量。