Una empresa aloja su sitio web público de comercio electrónico en AWS. El sitio utiliza un acelerador de AWS Global Accelerator para el tráfico de internet. El acelerador reenvía el tráfico a un Application Load Balancer (ALB) que se encuentra delante de un grupo de Auto Scaling. La empresa detectó recientemente un ataque DDoS y quiere una solución para mitigar futuros ataques con el MENOR esfuerzo de implementación. ¿Qué solución cumple estos requisitos?

La opción correcta es configurar una ACL web de AWS WAF en el ALB para bloquear el tráfico mediante reglas basadas en la tasa. AWS WAF es un firewall de aplicaciones web que ayuda a proteger las aplicaciones web de ataques comunes. Al asociar una ACL web directamente al ALB, WAF puede inspeccionar las solicitudes HTTP/S antes de que lleguen a las instancias del grupo de Auto Scaling. Las reglas basadas en la tasa son efectivas para mitigar ataques DDoS al bloquear automáticamente direcciones IP que envían un volumen inusual de solicitudes. Esta solución requiere el menor esfuerzo de implementación porque WAF se integra directamente con ALB y las reglas basadas en la tasa son fáciles de configurar. Configurar una ACL web de AWS WAF para el acelerador de Global Accelerator no es posible directamente, ya que Global Accelerator no admite la integración directa con WAF. Configurar una función de AWS Lambda para leer métricas y actualizar una ACL de red de VPC es una solución más compleja y reactiva, que implica desarrollo personalizado y puede no ser tan eficiente como WAF para DDoS de capa 7. Configurar una distribución de Amazon CloudFront delante de Global Accelerator es redundante y no aborda directamente la mitigación de DDoS en la capa de aplicación de manera tan eficiente como WAF en el ALB.