Ein Unternehmen hostet seine öffentliche Website auf Amazon EC2-Instanzen hinter einem Application Load Balancer (ALB). Die Website wird von einer globalen DDoS-Attacke einer bestimmten IoT-Gerätemarke angegriffen, die einen eindeutigen User-Agent-Header besitzt. Ein Sicherheitsingenieur erstellt eine AWS WAF Web-ACL, die mit dem ALB verknüpft werden soll, und muss eine Regel hinzufügen, die diese Anfragen jetzt und in Zukunft blockiert, ohne Kunden zu beeinträchtigen. Welche Regelanweisung erfüllt diese Anforderungen?

Die String-Match-Regelanweisung ist korrekt, da die IoT-Geräte einen eindeutigen User-Agent-Header besitzen. Mit dieser Regel kann AWS WAF Anfragen gezielt blockieren, die diesen spezifischen User-Agent-Header enthalten, ohne legitime Kunden zu beeinträchtigen. Dies ist eine präzise Methode, um die DDoS-Attacke zu stoppen, da der User-Agent ein konsistentes Merkmal der Angreifer ist. Eine IP-Set-Match-Regelanweisung wäre ineffektiv, da die IP-Adressen von IoT-Geräten bei einer globalen DDoS-Attacke wahrscheinlich zu zahlreich und dynamisch sind, um sie manuell zu pflegen. Eine geografische Match-Regelanweisung würde legitime Benutzer in den betroffenen Ländern blockieren. Eine ratenbasierte Regelanweisung könnte auch legitime Benutzer blockieren, wenn deren Anfragerate zufällig das Limit überschreitet, und ist weniger präzise als das Blockieren des spezifischen User-Agents.