Un sitio web de una empresa se utiliza para vender productos al público. El sitio se ejecuta en instancias de Amazon EC2 en un grupo de Auto Scaling detrás de un Application Load Balancer (ALB). También hay una distribución de Amazon CloudFront, y se está utilizando AWS WAF para proteger contra ataques de inyección SQL. El ALB es el origen de la distribución de CloudFront. Una revisión reciente de los registros de seguridad reveló una IP maliciosa externa que debe bloquearse para que no acceda al sitio web. ¿Qué debe hacer un arquitecto de soluciones para proteger la aplicación?

La opción correcta es modificar la configuración de AWS WAF para agregar una condición de coincidencia de IP. AWS WAF es un firewall de aplicaciones web que protege las aplicaciones web de exploits comunes que pueden afectar la disponibilidad de la aplicación, comprometer la seguridad o consumir recursos excesivos. Dado que AWS WAF ya está en uso y configurado para proteger contra ataques de inyección SQL, es el lugar ideal para agregar una regla de bloqueo basada en IP. Al agregar una condición de coincidencia de IP en AWS WAF, se puede denegar el tráfico de la dirección IP maliciosa antes de que llegue al ALB y a las instancias de EC2. Modificar la ACL de red en la distribución de CloudFront no es posible, ya que CloudFront no tiene ACL de red configurables directamente para bloquear IPs a ese nivel. Las ACL de red (Network ACLs) operan a nivel de subred y no son adecuadas para bloquear una única IP maliciosa de forma granular en este escenario. Modificar los grupos de seguridad para las instancias EC2 o las ACL de red para las instancias EC2 en los grupos de destino detrás del ALB bloquearía la IP, pero el tráfico ya habría pasado por CloudFront y el ALB, consumiendo recursos innecesarios y exponiendo el ALB.