Uma empresa hospeda um site público a partir de um bucket S3 em us-east-1 e o serve por meio de uma distribuição Amazon CloudFront. A empresa deseja proteção contra DDoS e precisa de controle preciso sobre o limite de taxa que aciona a mitigação. Qual implantação atende a essa necessidade?

A opção correta descreve a maneira ideal de proteger uma distribuição CloudFront contra DDoS usando AWS WAF. Ao criar uma Web ACL global (escopo do CloudFront), você garante que as regras do WAF sejam avaliadas antes que as solicitações cheguem ao seu S3. Uma ação padrão de "permitir" é apropriada para um site público, e uma regra baseada em taxa que "bloqueia" solicitações correspondentes oferece controle preciso sobre a mitigação de DDoS, bloqueando tráfego malicioso sem afetar usuários legítimos. As opções incorretas que associam a Web ACL ao bucket S3 estão erradas porque o AWS WAF não pode ser associado diretamente a buckets S3. O AWS WAF protege recursos como CloudFront, Application Load Balancers e API Gateway. As opções que usam uma ação padrão de "bloquear" são inadequadas para um site público, pois bloqueariam todo o tráfego por padrão.