Una empresa de educación global ejecuta una aplicación web en ECS en un grupo de Auto Scaling detrás de un ALB. Semanalmente, el servicio de autenticación se ve abrumado por una oleada de intentos de inicio de sesión fallidos provenientes de aproximadamente 500 direcciones IP que cambian cada semana. Un arquitecto de soluciones debe evitar que estos intentos de inicio de sesión fallidos sobrecarguen el servicio de autenticación con la mayor eficiencia operativa. ¿Qué solución cumple con este requisito?

La opción correcta es crear una ACL web de AWS WAF con una regla basada en tasas y asociarla al ALB. Esta solución es la más eficiente operativamente porque AWS WAF puede detectar y mitigar automáticamente los ataques de fuerza bruta o de denegación de servicio distribuidos (DDoS) al bloquear las direcciones IP que superan un umbral de solicitudes configurado. Esto evita que el servicio de autenticación se sobrecargue sin intervención manual semanal. Las otras opciones son menos adecuadas: Utilizar AWS Firewall Manager para crear un grupo de seguridad y una política que deniegue el tráfico de esas direcciones IP requeriría una actualización manual semanal de las 500 direcciones IP cambiantes, lo cual no es eficiente operativamente. Utilizar AWS Firewall Manager para crear un grupo de seguridad y una política que permita el acceso solo desde rangos CIDR específicos es una medida de seguridad válida, pero no aborda el problema de los intentos de inicio de sesión fallidos de direcciones IP cambiantes. Crear una ACL web de AWS WAF con una regla de coincidencia de conjunto de IP que bloquee las direcciones IP infractoras también requeriría una actualización manual semanal de las direcciones IP, lo que va en contra del requisito de eficiencia operativa.