一家公司在 Application Load Balancer (ALB) 后面的 Amazon EC2 实例上托管了一个 Web 应用程序。该应用程序正在遭受 DoS 攻击。日志显示请求来自一小部分频繁轮换的客户端 IP 地址。该公司需要以最少的持续运营工作来阻止恶意流量。哪种解决方案符合这些要求？

创建 AWS WAF 基于速率的规则并将其与 ALB 关联是最佳解决方案。AWS WAF 可以在请求到达 EC2 实例之前过滤恶意流量。基于速率的规则可以自动识别并阻止来自频繁轮换 IP 地址的异常高请求速率，从而有效抵御 DoS 攻击，并且维护工作量最少。 更新附加到 ALB 的安全组以阻止攻击 IP 地址是不可行的，因为攻击 IP 地址频繁轮换，手动更新安全组无法跟上。更新 ALB 子网的网络 ACL 也有同样的问题，且网络 ACL 是无状态的，管理复杂。创建 AWS WAF 基于速率的规则并将其附加到 EC2 实例的安全组是错误的，因为 AWS WAF 无法直接附加到 EC2 实例的安全组，它通常与 ALB、CloudFront 或 API Gateway 关联。