Una empresa aloja un sitio web público desde un bucket de S3 en us-east-1 y lo sirve a través de una distribución de Amazon CloudFront. La empresa desea protección contra DDoS y necesita un control preciso sobre el umbral de tasa que activa la mitigación. ¿Qué implementación satisface esa necesidad?

La opción correcta es crear una ACL web de AWS WAF global (ámbito de CloudFront) con una acción predeterminada de "allow", agregar una regla basada en tasas de AWS WAF que bloquee las solicitudes coincidentes y asociar la ACL web con la distribución de CloudFront. AWS WAF es el servicio adecuado para la protección DDoS a nivel de aplicación y permite un control preciso sobre los umbrales de tasas. Las ACL web de WAF asociadas a CloudFront son globales y se despliegan en los puntos de presencia de CloudFront, lo que proporciona protección en el borde de la red de AWS. Una acción predeterminada de "allow" asegura que el tráfico legítimo no se vea afectado, mientras que la regla basada en tasas bloquea el tráfico malicioso que excede el umbral configurado. Las opciones incorrectas que asocian la ACL web directamente con el bucket de S3 son erróneas porque WAF no se asocia directamente con buckets de S3 para protección a nivel de aplicación; se integra con CloudFront, Application Load Balancers o API Gateway. Las opciones que utilizan una acción predeterminada de "block" son incorrectas porque bloquearían todo el tráfico por defecto, lo cual no es el comportamiento deseado para un sitio web público.