Une entreprise expose une API principale à l'aide d'Amazon API Gateway et de fonctions Lambda, et certains clients accèdent également à une API héritée exécutée sur une seule instance Amazon EC2. L'entreprise souhaite une protection renforcée pour aider à prévenir les attaques DoS, rechercher les vulnérabilités et bloquer les exploits courants. Quelle combinaison de services AWS l'architecte de solutions doit-il utiliser pour répondre à ces exigences de sécurité ?

La bonne réponse combine les services AWS de manière optimale pour les exigences spécifiques. AWS WAF (Web Application Firewall) est idéal pour protéger l'API API Gateway contre les attaques courantes de couche 7, car API Gateway est un service web géré. Amazon Inspector est un service d'évaluation automatisée de la sécurité qui peut analyser l'instance EC2 hébergeant l'API héritée pour détecter les vulnérabilités logicielles et les configurations non conformes. Amazon GuardDuty est un service de détection de menaces qui surveille en continu les activités malveillantes et les comportements non autorisés dans les comptes AWS, y compris les tentatives d'accès aux API, mais il ne bloque pas directement les requêtes. Les options incorrectes proposent des combinaisons moins efficaces ou des utilisations inappropriées des services. Par exemple, WAF ne protège pas directement une API sur EC2 sans un Application Load Balancer ou CloudFront devant, et Inspector n'est pas conçu pour "protéger" en temps réel comme un pare-feu, mais pour "analyser" les vulnérabilités. GuardDuty est un service de détection, pas de blocage actif.