Ein Unternehmen hostet eine Webanwendung auf Amazon EC2-Instanzen hinter einem Application Load Balancer (ALB). Die Anwendung wird von einem DoS-Angriff heimgesucht. Die Protokolle zeigen, dass Anfragen von einer kleinen Gruppe von Client-IP-Adressen stammen, die häufig wechseln. Das Unternehmen muss den bösartigen Datenverkehr mit minimalem laufenden Betriebsaufwand blockieren. Welche Lösung erfüllt diese Anforderungen?

Eine AWS WAF-Regel auf Ratenbasis (rate-based rule) ist die effektivste Lösung, da sie Anfragen von IP-Adressen blockiert, die innerhalb eines konfigurierbaren Zeitraums eine bestimmte Anzahl von Anfragen überschreiten. Dies ist ideal für DoS-Angriffe, bei denen die Quell-IP-Adressen schnell wechseln, da WAF dynamisch auf das ungewöhnliche Anfragemuster reagiert und den bösartigen Datenverkehr am ALB abfängt, bevor er die EC2-Instanzen erreicht. Der Betriebsaufwand ist minimal, da die Regel einmal konfiguriert wird und automatisch skaliert. Das Aktualisieren der Sicherheitsgruppe des ALBs ist ineffizient, da die angreifenden IP-Adressen häufig wechseln und manuelles Eingreifen erfordern würden. Netzwerk-ACLs für ALB-Subnetze sind ebenfalls ungeeignet, da sie statisch sind und keine dynamische Reaktion auf wechselnde Angreifer-IPs bieten. Eine WAF-Regel an der Sicherheitsgruppe der EC2-Instanzen anzuhängen ist nicht möglich, da WAF direkt mit dem ALB (oder CloudFront/API Gateway) und nicht mit Sicherheitsgruppen von Backend-Instanzen verknüpft wird.