一家公司将其公共网站托管在 Application Load Balancer (ALB) 后面的 Amazon EC2 实例上。该网站正遭受来自特定 IoT 设备品牌的全球 DDoS 攻击，这些设备具有独特的 User-Agent 标头。一位安全工程师正在创建一个 AWS WAF Web ACL 以与 ALB 关联，并且必须添加一个规则，该规则现在和将来都能够阻止这些请求，同时不影响客户。哪个规则语句符合这些要求？

正确的答案是使用字符串匹配规则语句，该语句匹配 User-Agent 标头中的 IoT 设备品牌详细信息。这是因为题目明确指出攻击来自具有“独特 User-Agent 标头”的特定 IoT 设备品牌。通过在 AWS WAF 中配置一个字符串匹配规则，针对 HTTP 请求的 User-Agent 标头进行检查，并阻止包含该特定品牌详细信息的请求，可以精确地阻止攻击流量，同时不影响其他合法用户。 其他选项不正确的原因： 使用包含 IoT 设备 IP 地址的 IP set 匹配规则语句：IoT 设备的 IP 地址可能会频繁变化，或者数量庞大难以全部收集，这种方法维护成本高且可能不全面。 使用地理匹配规则语句来阻止 IoT 设备所在的国家/地区：这会阻止来自这些国家/地区的所有流量，包括合法用户的请求，不符合“不影响客户”的要求。 使用基于速率的规则语句，其速率限制等于来自 IoT 设备的请求数量：基于速率的规则可以缓解 DDoS 攻击，但如果合法流量模式与攻击流量相似，或者攻击流量分布在许多源上，则可能误报或效果不佳。它不能像 User-Agent 匹配那样精确地识别和阻止特定攻击源。