Ein Unternehmen nutzt Amazon CloudFront mit zwei Ursprüngen: einer dynamischen Anwendung auf Amazon EC2 und einem Amazon S3-Bucket für statische Inhalte. Eine Sicherheitsüberprüfung ergab, dass HTTPS-Antworten der Anwendung den HTTP-Header X-Frame-Options fehlen, der zur Minderung von Clickjacking erforderlich ist. Ein Sicherheitsingenieur muss sicherstellen, dass der gesamte Stack konform ist, indem er den Header zu den Antworten hinzufügt. Welcher Ansatz erfüllt diese Anforderung?

Die Bereitstellung einer Lambda@Edge-Funktion, die beim CloudFront-Origin-Response-Ereignis ausgelöst wird, ist die effektivste Methode. Bei diesem Ereignis kann die Lambda-Funktion die Antwort vom Ursprung (EC2-Anwendung oder S3) abfangen und den X-Frame-Options-Header hinzufügen, bevor die Antwort an den Viewer gesendet wird. Dies stellt sicher, dass der Header für alle Inhalte, sowohl dynamische als auch statische, hinzugefügt wird, ohne die Ursprungsanwendungen direkt ändern zu müssen. Die Auslösung beim Viewer-Request-Ereignis ist falsch, da zu diesem Zeitpunkt noch keine Antwort vom Ursprung vorliegt, die manipuliert werden könnte. Das Hinzufügen des Headers als benutzerdefinierten Header in den Ursprungseinstellungen von CloudFront ist ebenfalls falsch, da dies nur für Anfragen an den Ursprung gilt, nicht für Antworten vom Ursprung. Die Änderung der EC2-Anwendung wäre zwar möglich, aber nicht die flexibelste oder zentralisierteste Lösung, insbesondere wenn mehrere Ursprünge betroffen sind oder zukünftige Header hinzugefügt werden müssen.