Une entreprise héberge un site web public à partir d'un bucket S3 dans la région us-east-1 et le diffuse via une distribution Amazon CloudFront. L'entreprise souhaite une protection contre les attaques DDoS et a besoin d'un contrôle précis sur le seuil de débit qui déclenche l'atténuation. Quel déploiement répond à ce besoin ?

La bonne réponse est de créer une ACL web AWS WAF globale (étendue à CloudFront) avec une action par défaut d'autorisation, d'ajouter une règle basée sur le débit qui bloque les requêtes correspondantes et d'associer l'ACL web à la distribution CloudFront. AWS WAF est le service approprié pour la protection DDoS au niveau de la couche application et permet un contrôle précis du seuil de débit via des règles basées sur le débit. Les ACL web WAF associées à CloudFront doivent être globales. L'action par défaut doit être "autoriser" pour que le trafic légitime passe, tandis que la règle basée sur le débit bloque spécifiquement les attaques. Les options qui associent l'ACL web au bucket S3 sont incorrectes car AWS WAF ne peut pas être directement associé à un bucket S3 pour la protection d'un site web statique diffusé via CloudFront. Les options avec une action par défaut de "bloquer" sont incorrectes car cela bloquerait tout le trafic légitime à moins d'avoir des règles d'autorisation très spécifiques, ce qui est moins efficace pour la protection DDoS basée sur le débit.