Ein Unternehmen hostet eine öffentliche Website aus einem S3-Bucket in us-east-1 und stellt sie über eine Amazon CloudFront-Distribution bereit. Das Unternehmen benötigt Schutz vor DDoS und eine feine Kontrolle über den Schwellenwert, der die Mitigation auslöst. Welche Bereitstellung erfüllt diese Anforderung?

Die korrekte Lösung ist, eine globale (CloudFront-Scope) AWS WAF Web-ACL mit der Standardaktion „allow“ zu erstellen, eine ratenbasierte Regel hinzuzufügen, die übereinstimmende Anfragen blockiert, und diese Web-ACL mit der CloudFront-Distribution zu verknüpfen. CloudFront ist der ideale Ort für DDoS-Schutz, da es Anfragen am Edge abfängt, bevor sie die Origin erreichen. Eine ratenbasierte Regel bietet die erforderliche feine Kontrolle über den Schwellenwert. Die Standardaktion „allow“ stellt sicher, dass legitimer Traffic durchgelassen wird, während die ratenbasierte Regel schädlichen Traffic blockiert. Die Option, die Web-ACL mit dem S3-Bucket zu verknüpfen, ist falsch, da S3 keine direkte Integration mit AWS WAF für Web-ACLs hat. Außerdem würde dies den Schutz erst nach Erreichen des Origins bieten, was weniger effektiv ist. Die Optionen mit der Standardaktion „block“ sind falsch, da dies den gesamten Traffic blockieren würde, es sei denn, er wird explizit zugelassen, was nicht dem Szenario entspricht, bei dem nur schädlicher Traffic blockiert werden soll.