Die Webanwendung eines Unternehmens läuft hinter einem Application Load Balancer (ALB). Die Anwendung wird durch einen Credential-Stuffing-Angriff beeinträchtigt, der viele fehlgeschlagene Anmeldeversuche von zahlreichen IP-Adressen verursacht. Alle bösartigen Anfragen verwenden denselben User-Agent-String von einem bekannten mobilen Geräteemulator. Die Lösung muss den Angriff abwehren und gleichzeitig legitime Anmeldungen ermöglichen. Welcher Ansatz erfüllt diese Anforderungen?

Die korrekte Antwort ist, eine AWS WAF Web-ACL mit einer benutzerdefinierten Regel zu erstellen, die Anfragen blockiert, die den spezifischen User-Agent-String des Geräteemulators enthalten. AWS WAF ist ein Web Application Firewall-Dienst, der es ermöglicht, Regeln basierend auf HTTP-Headern wie dem User-Agent zu definieren, um bösartigen Datenverkehr zu filtern, bevor er die Anwendung erreicht. Dies wehrt den Angriff effektiv ab, da alle bösartigen Anfragen denselben User-Agent-String verwenden, während legitime Anmeldungen weiterhin möglich sind. Ein CloudWatch-Alarm mit SNS würde nur benachrichtigen, aber den Angriff nicht blockieren. Das Ändern der Sicherheitsgruppe des ALB, um angreifende IP-Adressen zu verweigern, ist ineffektiv, da die Angriffe von "zahlreichen IP-Adressen" kommen und diese sich schnell ändern können. Eine Regel, die nur bekannte legitime User-Agent-Strings zulässt, wäre zu restriktiv und würde wahrscheinlich legitime Benutzer blockieren, die andere, aber gültige User-Agent-Strings verwenden.