Una empresa financiera aloja una aplicación web que utiliza un endpoint de API Regional de Amazon API Gateway para proporcionar los precios actuales de las acciones. El equipo de seguridad ha notado un aumento en las solicitudes de API y le preocupa que los ataques de inundación HTTP dejen la aplicación fuera de línea. Un arquitecto de soluciones debe diseñar una protección con la MENOR sobrecarga operativa. ¿Qué solución cumple este requisito?

La opción correcta es crear una ACL web de AWS WAF Regional con una regla basada en la tasa y asociarla a la etapa de API Gateway. AWS WAF es un firewall de aplicaciones web que permite proteger las aplicaciones de ataques comunes, como los ataques de inundación HTTP, mediante reglas configurables. Una regla basada en la tasa (rate-based rule) bloquea automáticamente las solicitudes de direcciones IP que exceden un umbral definido en un período de tiempo específico, lo que aborda directamente la preocupación de los ataques de inundación HTTP con la menor sobrecarga operativa, ya que WAF es un servicio gestionado. Las otras opciones son menos adecuadas: Crear una distribución de Amazon CloudFront con un TTL máximo de 24 horas no protege contra ataques de inundación HTTP; solo cachea contenido. Usar métricas de Amazon CloudWatch para monitorear y alertar es reactivo, no preventivo, y no bloquea el ataque. Crear una distribución de Amazon CloudFront con Lambda@Edge para bloquear solicitudes es una solución más compleja y con mayor sobrecarga operativa que WAF, que ya ofrece esta funcionalidad de forma nativa y gestionada.