Un site web de commerce électronique s'exécute sur des instances Amazon EC2 derrière un Application Load Balancer (ALB) dans un groupe Auto Scaling. Le site subit des taux de requêtes élevés provenant de systèmes externes illégitimes dont les adresses IP changent fréquemment. L'équipe de sécurité s'inquiète des attaques DDoS potentielles. L'entreprise doit bloquer ces requêtes illégitimes avec un impact minimal sur les utilisateurs légitimes. Que devrait recommander un architecte de solutions ?

La bonne réponse est de déployer AWS WAF, de l'associer à l'ALB et de configurer une règle de limitation de débit. AWS WAF (Web Application Firewall) est conçu pour protéger les applications web contre les exploits web courants qui peuvent affecter la disponibilité des applications, compromettre la sécurité ou consommer des ressources excessives. Une règle de limitation de débit dans WAF peut bloquer ou limiter les requêtes provenant d'adresses IP qui dépassent un seuil défini, ce qui est efficace contre les attaques DDoS et les requêtes illégitimes avec des adresses IP changeantes. L'association à l'ALB garantit que le trafic est filtré avant d'atteindre les instances EC2. Déployer Amazon Inspector n'est pas la bonne solution car Inspector est un service d'évaluation de la sécurité qui identifie les vulnérabilités sur les instances EC2, pas un mécanisme de blocage de trafic en temps réel. Déployer des règles sur les ACL réseau associées à l'ALB pour bloquer le trafic entrant est inefficace car les adresses IP changent fréquemment, rendant les règles statiques obsolètes. Déployer Amazon GuardDuty et activer la protection de limitation de débit lors de la configuration de GuardDuty est incorrect car GuardDuty est un service de détection des menaces qui surveille les activités malveilluses, mais il n'offre pas de fonctionnalité de limitation de débit ou de blocage direct du trafic comme WAF.