Une entreprise héberge son site web de commerce électronique public sur AWS. Le site utilise un accélérateur AWS Global Accelerator pour le trafic Internet. L'accélérateur transfère le trafic vers un Application Load Balancer (ALB) qui se trouve devant un groupe Auto Scaling. L'entreprise a récemment détecté une attaque DDoS et souhaite une solution pour atténuer les futures attaques avec le MOINS d'effort de mise en œuvre. Quelle solution répond à ces exigences ?

La bonne réponse est de configurer une ACL web AWS WAF sur l'ALB pour bloquer le trafic à l'aide de règles basées sur le débit. AWS WAF est un pare-feu d'applications web qui peut être associé à un Application Load Balancer (ALB) pour filtrer le trafic. Les règles basées sur le débit sont efficaces pour atténuer les attaques DDoS en bloquant les adresses IP qui génèrent un volume de requêtes anormalement élevé. Cette solution est la plus simple à mettre en œuvre car elle s'intègre directement à l'ALB existant sans nécessiter de modifications architecturales majeures. Les autres options sont moins appropriées : Configurer une ACL web AWS WAF pour l'accélérateur Global Accelerator n'est pas possible car Global Accelerator ne prend pas directement en charge l'intégration WAF. Configurer une fonction AWS Lambda pour lire les métriques de l'ALB et bloquer les attaques en mettant à jour une ACL réseau de VPC est une solution plus complexe et réactive, nécessitant du développement personnalisé et une gestion plus lourde. Configurer une distribution Amazon CloudFront devant l'accélérateur Global Accelerator est une modification architecturale significative et CloudFront est généralement utilisé pour la mise en cache de contenu, pas comme première ligne de défense DDoS pour un Global Accelerator.