Un'azienda esegue una soluzione DNS autogestita su AWS che consiste in istanze Amazon EC2 in diverse regioni AWS e endpoint di un acceleratore standard in AWS Global Accelerator. L'azienda desidera proteggere questa soluzione dagli attacchi DDoS. Cosa dovrebbe fare un architetto di soluzioni per soddisfare questo requisito?

Per proteggere una soluzione DNS autogestita su AWS Global Accelerator dagli attacchi DDoS, la soluzione più efficace è sottoscrivere AWS Shield Advanced e aggiungere l'acceleratore come risorsa protetta. AWS Shield Advanced offre una protezione DDoS più robusta rispetto a Shield Standard, inclusa la protezione per risorse come Global Accelerator. Proteggere l'acceleratore è fondamentale perché è il punto di ingresso del traffico. Proteggere le istanze EC2 direttamente con Shield Advanced non è l'opzione migliore in questo scenario, poiché il traffico passa prima attraverso Global Accelerator. L'utilizzo di AWS WAF con regole basate sulla frequenza può aiutare a mitigare alcuni attacchi, ma WAF è più adatto per la protezione a livello di applicazione (Layer 7) e non fornisce la stessa ampiezza di protezione DDoS di Shield Advanced, specialmente contro attacchi a livello di rete (Layer 3 e 4) che possono colpire Global Accelerator. Associare WAF alle istanze EC2 è meno efficace perché il traffico malevolo potrebbe già aver saturato l'acceleratore prima di raggiungere le istanze.