Uma empresa está preocupada com ataques DDoS. Sua aplicação web é executada em instâncias Amazon EC2 e serve conteúdo estático (imagens e vídeos) do Amazon S3. Um engenheiro de segurança deve projetar uma arquitetura resiliente e econômica que possa suportar eventos DDoS. Qual solução atende a esses requisitos da forma mais econômica?

A opção correta é a mais econômica e resiliente. O Amazon CloudFront, um CDN, absorve e distribui o tráfego, protegendo a origem (S3 e EC2) de ataques DDoS na camada de rede e aplicação, além de servir conteúdo estático de forma eficiente. O Elastic Load Balancing distribui o tráfego entre as instâncias EC2, e o Auto Scaling Group ajusta a capacidade automaticamente, garantindo alta disponibilidade e resiliência a picos de tráfego, incluindo ataques DDoS, sem intervenção manual e de forma econômica, pois você paga apenas pelos recursos utilizados. A primeira opção, de bloquear portas com Lambda, é reativa e ineficaz contra DDoS, pois bloquearia o tráfego legítimo e não escalaria para mitigar o ataque. A recuperação de desastres de warm standby é mais cara e complexa, e não é a primeira linha de defesa contra DDoS. O AWS Shield Advanced oferece proteção robusta, mas é a opção mais cara e não atende ao requisito de "mais econômica" para a proteção inicial.