某公司正在測試用於目標遏制的事件回應程序。該公司必須立即隔離一個關鍵的 Amazon EC2 instance，同時保持其運行。該 instance 是其 public subnet 中的唯一資源，並且與其他資源具有活動連線。哪種解決方案可以立即遏制該 instance？

正確答案是建立一個新的 network ACL，其中包含一條針對所有 inbound 和所有 outbound 流量的 Deny 規則，並將其與包含 EC2 instance 的 subnet 關聯。Network ACL 在子網層級運作，可以立即阻擋進出該子網的所有流量，有效隔離 EC2 instance，同時保持其運行狀態。 選項 A 和 B（修改或建立 Security Group）僅在 instance 層級運作，且需要時間來應用規則，可能無法立即完全阻斷所有現有連線。Security Group 預設允許所有 outbound 流量，需要明確地拒絕。選項 D（建立新 VPC 並遷移 instance）涉及停止 instance、建立 AMI 並啟動新 instance，這會導致服務中斷，不符合「保持其運行」的要求。