NewsFlare Media 的公共 ALB 受到大容量 DDoS 攻击和执行凭证填充的僵尸流量的攻击。他们希望在攻击期间降低扩展成本，并应用托管规则和基于速率的规则，同时最大限度地减少应用程序更改。安全团队应采取哪两项措施？（选择两项。）

将 ALB 放置在 Amazon CloudFront 之后，并使用 AWS Shield Advanced 保护分发是正确的，因为 CloudFront 作为 CDN 可以缓存内容并抵御 DDoS 攻击，而 Shield Advanced 提供更高级的 DDoS 保护和成本优化。使用 AWS 托管规则和基于速率的规则，将 AWS WAF web ACL 与 CloudFront 分发关联是正确的，因为 AWS WAF 可以通过托管规则和基于速率的规则有效阻止僵尸流量和凭证填充攻击，并且将其与 CloudFront 关联可以在边缘阻止恶意请求，减少到达 ALB 的流量。在 VPC 网络 ACL 中创建拒绝条目效率低下且难以管理大量攻击 IP。启用 Amazon GuardDuty 能够检测威胁，但其自动响应通常不直接用于实时阻止大容量 DDoS 攻击。在 ALB 上启用 Shield Standard 只能提供基本的 DDoS 保护，并且 SYN cookies 主要用于缓解 SYN 泛洪攻击，对凭证填充和僵尸流量效果不佳。