O site de uma empresa é usado para vender produtos ao público. O site é executado em instâncias Amazon EC2 em um grupo do Auto Scaling atrás de um Application Load Balancer (ALB). Há também uma distribuição Amazon CloudFront, e o AWS WAF está sendo usado para proteger contra ataques de injeção de SQL. O ALB é a origem para a distribuição do CloudFront. Uma revisão recente dos logs de segurança revelou um IP malicioso externo que precisa ser bloqueado de acessar o site. O que um arquiteto de soluções deve fazer para proteger o aplicativo?

A opção correta é modificar a configuração do AWS WAF para adicionar uma condição de correspondência de IP. O AWS WAF é projetado para proteger aplicações web contra ataques comuns, e bloquear IPs maliciosos é uma de suas funcionalidades principais. Como o AWS WAF já está em uso e protege contra injeção de SQL, estender sua funcionalidade para bloquear um IP específico é a abordagem mais eficiente e escalável. Modificar a ACL de rede na distribuição do CloudFront não é a solução ideal porque o CloudFront não tem ACLs de rede configuráveis para bloqueio de IP. As ACLs de rede (Network ACLs) são aplicadas a sub-redes e não são a ferramenta apropriada para bloquear um IP específico em uma camada de aplicação como esta. Modificar as ACLs de rede ou os grupos de segurança nas instâncias EC2 ou nos grupos de destino atrás do ALB seria ineficaz, pois o tráfego malicioso ainda passaria pelo CloudFront e pelo ALB antes de ser bloqueado, consumindo recursos desnecessariamente. O WAF age na borda da rede, antes mesmo do tráfego chegar ao ALB.