某公司在單一 VPC 中執行多個應用程式，這些應用程式位於與 AWS WAF web ACL 相關聯的 Application Load Balancer 後方。安全團隊發現源自特定公有 IP 範圍的連接埠掃描。安全工程師必須拒絕來自該 IP 範圍的請求。哪種解決方案能滿足這些要求？

正確答案是將 IP set match rule statement 新增至 AWS WAF web ACL，以封鎖來自違規 IP 範圍的請求。AWS WAF 位於 Application Load Balancer 之前，能夠檢查傳入的請求。透過在 WAF 中建立 IP set match rule，您可以精確地指定要封鎖的特定公共 IP 範圍，有效阻止埠掃描。 將規則新增至所有安全群組來拒絕傳入請求是不可行的，因為安全群組是針對執行個體層級的，無法有效處理來自單一 IP 範圍的埠掃描，而且管理複雜。在 AWS WAF web ACL 中建立 rate-based rule 雖然可以限制請求速率，但無法直接針對特定 IP 範圍進行封鎖，且可能誤擋合法流量。設定 regex match conditions 則是用於基於請求內容的匹配，而非基於來源 IP 位址的封鎖。