Ein Finanzunternehmen hostet eine Webanwendung, die einen regionalen Amazon API Gateway API-Endpunkt verwendet, um aktuelle Aktienkurse bereitzustellen. Das Sicherheitsteam hat eine Zunahme von API-Anfragen festgestellt und befürchtet, dass HTTP-Flood-Angriffe die Anwendung offline nehmen könnten. Ein Solutions Architect muss einen Schutz mit dem GERINGSTEN Betriebsaufwand entwerfen. Welche Lösung erfüllt diese Anforderung?

Die korrekte Lösung ist, eine regionale AWS WAF Web-ACL mit einer ratenbasierten Regel zu erstellen und diese mit der API Gateway-Stage zu verknüpfen. AWS WAF ist ein Web Application Firewall-Dienst, der vor HTTP-Flood-Angriffen schützt, indem er Anfragen basierend auf vordefinierten Regeln filtert. Ratenbasierte Regeln blockieren oder zählen Anfragen von IP-Adressen, die eine bestimmte Anzahl von Anfragen innerhalb eines konfigurierbaren Zeitraums überschreiten, was direkt HTTP-Flood-Angriffe abwehrt. Dies bietet den geringsten Betriebsaufwand, da AWS WAF ein verwalteter Dienst ist. Die Option mit CloudFront und einer maximalen TTL von 24 Stunden würde zwar Caching nutzen, aber nicht direkt vor HTTP-Flood-Angriffen schützen, da die Anfragen trotzdem den Ursprung erreichen könnten, wenn sie nicht im Cache sind oder die Cache-Gültigkeit abgelaufen ist. CloudWatch-Metriken würden nur benachrichtigen, aber keinen Schutz bieten. CloudFront mit Lambda@Edge und einer Lambda-Funktion wäre ein höherer Betriebsaufwand, da die Lambda-Funktion selbst entwickelt und gewartet werden müsste, um die Ratenbegrenzung zu implementieren.