Il sito web di un'azienda viene utilizzato per vendere prodotti al pubblico. Il sito è eseguito su istanze Amazon EC2 in un gruppo Auto Scaling dietro un Application Load Balancer (ALB). È presente anche una distribuzione Amazon CloudFront e AWS WAF viene utilizzato per proteggere dagli attacchi di SQL injection. L'ALB è l'origin per la distribuzione CloudFront. Una recente revisione dei log di sicurezza ha rivelato un IP esterno dannoso che deve essere bloccato dall'accesso al sito web. Cosa dovrebbe fare un architetto di soluzioni per proteggere l'applicazione?

La risposta corretta è modificare la configurazione di AWS WAF per aggiungere una condizione di corrispondenza IP per bloccare l'indirizzo IP dannoso. AWS WAF è un firewall per applicazioni web che opera al livello 7 del modello OSI e può filtrare il traffico in base a indirizzi IP, intestazioni HTTP, stringhe di query e altri attributi. Poiché AWS WAF è già in uso e configurato davanti all'ALB (che è l'origine di CloudFront), è il punto più efficace per bloccare il traffico dannoso prima che raggiunga le istanze EC2. Modificare l'ACL di rete sulla distribuzione CloudFront non è possibile, in quanto CloudFront non supporta ACL di rete direttamente sulla distribuzione per bloccare indirizzi IP specifici. Gli ACL di rete (NACL) sono a livello di sottorete e non sono adatti per bloccare singoli IP a livello di applicazione. Modificare l'ACL di rete o i gruppi di sicurezza per le istanze EC2 non sarebbe efficace perché il traffico dannoso verrebbe bloccato solo dopo aver attraversato CloudFront e l'ALB, sprecando risorse e potenzialmente esponendo l'ALB.