Ein Unternehmen ist besorgt über DDoS-Angriffe. Seine Webanwendung läuft auf Amazon EC2-Instanzen und stellt statische Inhalte (Bilder und Videos) von Amazon S3 bereit. Ein Sicherheitsingenieur muss eine robuste, kostengünstige Architektur entwerfen, die DDoS-Ereignissen standhalten kann. Welche Lösung erfüllt diese Anforderungen am kostengünstigsten?

Die korrekte Option bietet eine kostengünstige und robuste Lösung gegen DDoS-Angriffe. Amazon CloudFront (CDN) schützt vor vielen gängigen DDoS-Angriffen auf der Netzwerk- und Anwendungsebene, indem es Inhalte am Edge zwischenspeichert und Anfragen filtert. Die Integration mit S3 für statische Inhalte entlastet die EC2-Instanzen. Elastic Load Balancing verteilt den Datenverkehr und Auto Scaling Group passt die Kapazität der EC2-Instanzen dynamisch an, um Lastspitzen zu bewältigen, was die Verfügbarkeit während eines Angriffs erhöht. Die anderen Optionen sind weniger geeignet: Das Blockieren von Ports 80 und 443 bei einem CPU-Alarm würde die Anwendung für legitime Benutzer unzugänglich machen. Eine Warm-Standby-DR-Umgebung ist komplexer und teurer als die CDN/Auto Scaling-Lösung und erfordert ein manuelles Failover. AWS Shield Advanced bietet zwar erweiterten Schutz, ist aber deutlich teurer als die vorgeschlagene Architektur und wird oft erst in Kombination mit anderen Diensten wie CloudFront vollständig wirksam.