Ein Unternehmen hostet seine öffentliche E-Commerce-Website auf AWS. Die Website verwendet einen AWS Global Accelerator-Akzelerator für den Internetverkehr. Der Akzelerator leitet den Datenverkehr an einen Application Load Balancer (ALB) weiter, der vor einer Auto Scaling-Gruppe geschaltet ist. Das Unternehmen hat kürzlich einen DDoS-Angriff entdeckt und möchte eine Lösung zur Abmilderung zukünftiger Angriffe mit dem geringsten Implementierungsaufwand. Welche Lösung erfüllt diese Anforderungen?

Die Konfiguration einer AWS WAF Web-ACL direkt auf dem Application Load Balancer (ALB) ist die effektivste Lösung mit dem geringsten Implementierungsaufwand. AWS WAF kann ratenbasierte Regeln verwenden, um verdächtigen Datenverkehr, der auf DDoS-Angriffe hindeutet, automatisch zu erkennen und zu blockieren, bevor er die Backend-Instanzen erreicht. Der Global Accelerator leitet den Datenverkehr an den ALB weiter, sodass WAF am ALB den Datenverkehr filtern kann, der bereits durch den Accelerator geleitet wurde. Die Konfiguration von WAF auf dem Global Accelerator ist nicht möglich, da WAF nicht direkt mit Global Accelerator integriert ist. Eine Lambda-Funktion zur Aktualisierung von VPC-Netzwerk-ACLs wäre komplexer und reaktiver als präventiv. CloudFront vor Global Accelerator zu platzieren, ist keine typische oder empfohlene Architektur für diesen Anwendungsfall und würde den Implementierungsaufwand erhöhen, ohne die DDoS-Abwehr signifikant zu verbessern, da WAF am ALB die primäre Schutzschicht ist.