L'ALB public de NewsFlare Media est ciblé par d'importantes attaques DDoS volumétriques et par du trafic de bots effectuant du credential stuffing. Ils souhaitent réduire les coûts de mise à l'échelle pendant les attaques et appliquer des règles gérées et basées sur le débit avec un minimum de modifications d'application. Quelles sont les deux actions que l'équipe de sécurité devrait entreprendre ? (Choisissez-en deux.)

Placer l'ALB derrière Amazon CloudFront et protéger la distribution avec AWS Shield Advanced est correct car CloudFront agit comme un CDN, mettant en cache le contenu et absorbant une grande partie du trafic malveillant avant qu'il n'atteigne l'ALB. Shield Advanced offre une protection DDoS améliorée et des réductions de coûts pour l'autoscaling pendant les attaques. Associer une ACL web AWS WAF à la distribution CloudFront avec des règles gérées par AWS et une règle basée sur le débit est correct car WAF, en conjonction avec CloudFront, permet de bloquer le trafic de bots (credential stuffing) et d'appliquer des limites de débit pour atténuer les attaques volumétriques, avec un minimum de modifications d'application. Créer des entrées de refus dans les ACL réseau du VPC n'est pas évolutif ni efficace contre les attaques DDoS distribuées avec de nombreuses adresses IP changeantes. Activer Amazon GuardDuty est utile pour la détection des menaces, mais ne fournit pas de mécanisme de blocage automatique et immédiat pour les attaques DDoS et de bots à grande échelle. Activer Shield Standard sur l'ALB est insuffisant car il n'offre qu'une protection de base et les cookies SYN ne sont pas une solution complète pour les attaques volumétriques complexes ou le credential stuffing.