Un'azienda finanziaria ospita un'applicazione web che utilizza un endpoint API regionale di Amazon API Gateway per fornire i prezzi azionari correnti. Il team di sicurezza ha notato un aumento delle richieste API ed è preoccupato che attacchi HTTP flood possano portare l'applicazione offline. Un architetto di soluzioni deve progettare una protezione con il MINOR overhead operativo. Quale soluzione soddisfa questo requisito?

La soluzione migliore è creare una web ACL AWS WAF regionale con una regola basata sulla frequenza e associarla allo stage di API Gateway. AWS WAF è un firewall per applicazioni web che consente di monitorare le richieste HTTP(S) inoltrate alle risorse web e di bloccare o consentire le richieste in base a condizioni definite. Una regola basata sulla frequenza (rate-based rule) è specificamente progettata per mitigare gli attacchi flood HTTP, bloccando automaticamente gli indirizzi IP che superano una soglia di richieste predefinita in un periodo di tempo. Questo offre la protezione più efficace con il minimo overhead operativo, poiché WAF è un servizio gestito. Le altre opzioni sono meno efficaci o introducono maggiore complessità: CloudFront con TTL di 24 ore non previene gli attacchi flood, ma solo riduce il carico sul backend per le richieste cacheabili. Monitorare con CloudWatch e avvisare non blocca gli attacchi, ma solo notifica il team, richiedendo un intervento manuale. CloudFront con Lambda@Edge per il blocco personalizzato introduce un overhead operativo maggiore per la gestione della logica Lambda e la manutenzione del codice.