Un'azienda ospita il proprio sito web pubblico su istanze Amazon EC2 dietro un Application Load Balancer (ALB). Il sito è sotto un attacco DDoS globale da parte di uno specifico marchio di dispositivi IoT che ha un'intestazione User-Agent distintiva. Un ingegnere della sicurezza sta creando una web ACL di AWS WAF da associare all'ALB e deve aggiungere una regola che blocchi queste richieste ora e in futuro senza influire sui clienti. Quale istruzione di regola soddisfa questi requisiti?

L'opzione corretta è utilizzare un'istruzione di regola di corrispondenza di stringa che corrisponda ai dettagli del marchio del dispositivo IoT nell'intestazione User-Agent. Questo perché l'attacco proviene da uno specifico marchio di dispositivi IoT con un'intestazione User-Agent distintiva. Bloccando questa stringa specifica, AWS WAF può filtrare in modo preciso le richieste dannose senza influire sui clienti legittimi. Le altre opzioni sono meno efficaci o inappropriate: Un'istruzione di regola di corrispondenza del set IP non è pratica, poiché gli indirizzi IP dei dispositivi IoT potrebbero essere numerosi e dinamici. Una regola di corrispondenza geografica bloccherebbe tutti gli utenti da determinate regioni, inclusi i clienti legittimi. Una regola basata sulla frequenza potrebbe bloccare anche il traffico legittimo se supera la soglia, e non è specifica per il tipo di attacco.