Eine Website läuft auf EC2-Instances in einer Auto Scaling-Gruppe hinter einem Application Load Balancer (ALB). Eine AWS WAF Web-ACL ist dem ALB zugeordnet. Die Website wird von Angriffen auf Anwendungsebene heimgesucht, die plötzliche, große Traffic-Spitzen verursachen. WAF-Zugriffsprotokolle zeigen, dass Angriffe von vielen verschiedenen IP-Adressen stammen. Welche Maßnahme erfordert den GERINGSTEN Betriebsaufwand?

Die Bereitstellung von AWS Shield Advanced ist die Lösung mit dem geringsten Betriebsaufwand, da es automatischen Schutz vor DDoS-Angriffen auf Anwendungsebene bietet und sich nahtlos in AWS WAF integriert. Es erkennt und mindert große Traffic-Spitzen von vielen IP-Adressen automatisch, ohne dass manuelle Eingriffe oder komplexe Konfigurationen erforderlich sind. Die Option, einen CloudWatch-Alarm zu erstellen, um IP-Adressen zur WAF-Deny-Liste hinzuzufügen, erfordert erheblichen Betriebsaufwand für die Einrichtung und Wartung der Logik und Skripte. Ähnlich ist die Option, eine Lambda-Funktion zu verwenden, um Deny-Regeln zu Subnetz-Routing-Tabellen hinzuzufügen, komplex und wartungsintensiv. Das Blockieren von Traffic basierend auf Herkunftsländern mittels Route 53 ist ungenau und könnte legitimen Traffic blockieren, während es Angreifer mit VPNs oder Proxys nicht aufhält.