Eine E-Commerce-Website läuft auf Amazon EC2-Instanzen hinter einem Application Load Balancer (ALB) in einer Auto Scaling-Gruppe. Die Website verzeichnet hohe Anfrageraten von nicht autorisierten externen Systemen, deren IP-Adressen sich häufig ändern. Das Sicherheitsteam ist besorgt über potenzielle DDoS-Angriffe. Das Unternehmen muss diese nicht autorisierten Anfragen mit minimalen Auswirkungen auf legitime Benutzer blockieren. Was sollte ein Solutions Architect empfehlen?

Die richtige Antwort ist, AWS WAF bereitzustellen, mit dem ALB zu verknüpfen und eine Ratenbegrenzungsregel zu konfigurieren. AWS WAF (Web Application Firewall) ist ein Web-Sicherheitsdienst, der Web-Exploits blockiert. Durch die Verknüpfung mit dem Application Load Balancer (ALB) kann WAF den Datenverkehr filtern, bevor er die EC2-Instanzen erreicht. Eine Ratenbegrenzungsregel in WAF ist ideal, um hohe Anfrageraten von sich schnell ändernden IP-Adressen zu erkennen und zu blockieren, was typisch für DDoS-Angriffe ist, ohne legitime Benutzer zu beeinträchtigen. Amazon Inspector ist ein automatisierter Sicherheitsbewertungsdienst, der die Sicherheit und Compliance von Anwendungen bewertet, aber keine DDoS-Angriffe abwehrt. Netzwerk-ACLs (NACLs) sind zustandslos und arbeiten auf der IP-Ebene; sie sind nicht effektiv gegen sich schnell ändernde IP-Adressen und würden legitime Benutzer blockieren. Amazon GuardDuty ist ein Bedrohungserkennungsdienst, der anomales Verhalten erkennt, aber keine direkte Schutzfunktion gegen DDoS-Angriffe auf Anwendungsebene bietet.