Die Website eines Unternehmens wird verwendet, um Produkte an die Öffentlichkeit zu verkaufen. Die Website läuft auf Amazon EC2-Instances in einer Auto Scaling-Gruppe hinter einem Application Load Balancer (ALB). Es gibt auch eine Amazon CloudFront-Distribution, und AWS WAF wird zum Schutz vor SQL-Injection-Angriffen eingesetzt. Der ALB ist der Origin für die CloudFront-Distribution. Eine kürzliche Überprüfung der Sicherheitsprotokolle ergab eine externe bösartige IP, die vom Zugriff auf die Website blockiert werden muss. Was sollte ein Solutions Architect tun, um die Anwendung zu schützen?

Die korrekte Antwort ist, die Konfiguration von AWS WAF zu ändern, um eine IP-Match-Bedingung hinzuzufügen, die die bösartige IP-Adresse blockiert. AWS WAF ist ein Web Application Firewall-Dienst, der auf Layer 7 (Anwendungsschicht) arbeitet und direkt mit CloudFront integriert ist. Da CloudFront der Origin für den ALB ist und AWS WAF bereits zum Schutz vor SQL-Injection eingesetzt wird, ist dies der effektivste und direkteste Weg, um bösartigen Datenverkehr auf dieser Ebene abzufangen, bevor er die nachgeschalteten Komponenten erreicht. Die Netzwerk-ACL der CloudFront-Distribution kann nicht direkt geändert werden, da CloudFront keine Netzwerk-ACLs im herkömmlichen Sinne verwendet. Das Ändern von Netzwerk-ACLs oder Sicherheitsgruppen für die EC2-Instances wäre weniger effektiv, da der bösartige Datenverkehr bereits CloudFront und den ALB durchlaufen hätte, bevor er diese Schutzschichten erreicht. Dies würde unnötige Ressourcen verbrauchen und ist nicht der optimale Punkt, um den Zugriff zu blockieren.