한 회사에서 Amazon CloudFront를 사용하고 있으며, 두 개의 오리진(Amazon EC2의 동적 애플리케이션과 정적 콘텐츠용 Amazon S3 버킷)을 사용합니다. 보안 검토 결과, 애플리케이션의 HTTPS 응답에 클릭재킹을 완화하는 데 필요한 X-Frame-Options HTTP 헤더가 누락된 것으로 확인되었습니다. 보안 엔지니어는 응답에 해당 헤더를 추가하여 전체 스택이 규정을 준수하도록 해야 합니다. 이 요구 사항을 충족하는 접근 방식은 무엇입니까?

정답은 CloudFront origin response 이벤트에서 트리거되는 Lambda@Edge 함수를 배포하여 X-Frame-Options 헤더를 추가하는 것입니다. origin response 이벤트는 오리진에서 응답을 받은 후 뷰어에게 전달되기 전에 실행되므로, 애플리케이션 응답에 보안 헤더를 삽입하기에 적합합니다. 오답 설명: viewer request 이벤트에서 Lambda@Edge를 트리거하는 것은 응답이 아닌 요청을 처리하므로 올바르지 않습니다. CloudFront 배포의 오리진 설정에 X-Frame-Options를 사용자 지정 헤더로 추가하는 것은 오리진으로 전달되는 요청 헤더를 추가하는 것이지, 오리진에서 오는 응답 헤더를 수정하는 기능이 아닙니다. EC2 애플리케이션을 직접 수정하는 것은 가능하지만, CloudFront를 통해 중앙에서 보안 헤더를 관리하는 것이 더 효율적이고 일관된 접근 방식입니다. 특히 S3 오리진의 정적 콘텐츠에는 이 방법이 적용되지 않습니다.