Une entreprise exploite un portail de gestion de compte basé sur le web pour un jeu en ligne. Les utilisateurs se connectent avec un nom d'utilisateur et un mot de passe uniques. Le portail est servi par un Application Load Balancer protégé par une ACL web AWS WAF qui inclut le Core Rule Set (CRS) géré par AWS. L'équipe de sécurité a détecté une attaque par credential stuffing utilisant des identifiants exposés lors d'autres violations. L'équipe doit réduire la probabilité de succès du credential stuffing tout en minimisant l'impact sur les utilisateurs légitimes. Quelle combinaison d'actions répondra à ces exigences ? (Choisissez-en deux.)

La création d'une métrique CloudWatch pour les connexions réussies par IP permet de détecter des schémas anormaux, comme un grand nombre de succès depuis une même source, indiquant une attaque de credential stuffing. Cela aide à identifier les attaquants sans impacter les utilisateurs légitimes. L'ajout du groupe de règles géré AWS WAF Account Takeover Prevention (ATP) est crucial car il est spécifiquement conçu pour détecter et atténuer les attaques de credential stuffing en identifiant les informations d'identification compromises et d'autres signaux d'attaque. Bloquer les requêtes avec le label awswaf:managed:aws:atp:signal:credentialcompromised cible directement les tentatives d'utilisation de ces identifiants. Définir l'action par défaut pour un CAPTCHA impacterait tous les utilisateurs, y compris les légitimes, ce qui n'est pas souhaitable. Bloquer les adresses IP après de nombreuses connexions réussies est réactif et pourrait bloquer des utilisateurs légitimes derrière un NAT partagé. Rediriger vers une réinitialisation de mot de passe est une mesure de récupération, pas de prévention.