Un'azienda ospita un sito web pubblico da un bucket S3 in us-east-1 e lo serve tramite una distribuzione Amazon CloudFront. L'azienda desidera protezione da attacchi DDoS e necessita di un controllo preciso sulla soglia di frequenza che attiva la mitigazione. Quale implementazione soddisfa questa esigenza?

La risposta corretta è la creazione di una web ACL AWS WAF globale (scope CloudFront) con un'azione predefinita di allow, aggiungendo una regola basata sulla frequenza che blocca le richieste corrispondenti e associandola alla distribuzione CloudFront. Le regole WAF basate sulla frequenza (rate-based rules) sono ideali per mitigare gli attacchi DDoS, consentendo un controllo preciso sulla soglia di richieste. L'associazione a CloudFront è fondamentale perché WAF protegge le risorse dietro CloudFront, bloccando il traffico malevolo prima che raggiunga l'origine S3. Le opzioni che associano la web ACL direttamente al bucket S3 sono errate perché AWS WAF non può essere associato direttamente a un bucket S3. Le opzioni che impostano l'azione predefinita su "block" sono meno flessibili e potrebbero bloccare traffico legittimo se la regola di allow non è configurata perfettamente.