어떤 회사가 us-east-1의 S3 버킷에서 퍼블릭 웹사이트를 호스팅하고 Amazon CloudFront 배포를 통해 서비스하고 있습니다. 이 회사는 DDoS로부터 보호받기를 원하며, 완화를 트리거하는 속도 임계값에 대한 세밀한 제어를 필요로 합니다. 어떤 배포가 이러한 요구 사항을 충족할까요?

정답은 CloudFront 배포와 연결된 전역(CloudFront 범위) AWS WAF 웹 ACL을 생성하고, 기본 작업을 허용으로 설정한 후 일치하는 요청을 차단하는 속도 기반 규칙을 추가하는 것입니다. AWS WAF는 CloudFront와 통합되어 DDoS 공격으로부터 엣지에서 보호를 제공하며, 속도 기반 규칙은 특정 임계값을 초과하는 요청을 자동으로 차단하여 세밀한 제어를 가능하게 합니다. CloudFront 범위의 웹 ACL은 CloudFront 배포에만 연결할 수 있습니다. S3 버킷에 직접 연결하는 것은 불가능하며, S3 버킷은 CloudFront를 통해 보호됩니다. 기본 작업을 차단으로 설정하면 합법적인 트래픽도 차단될 수 있으므로, 기본 작업은 허용으로 설정하고 악성 트래픽만 차단하는 규칙을 사용하는 것이 올바른 접근 방식입니다.