한 회사에서 Application Load Balancer(ALB) 뒤의 Amazon EC2 인스턴스에 퍼블릭 웹 사이트를 호스팅하고 있습니다. 이 사이트는 고유한 User-Agent 헤더를 가진 특정 IoT 장치 브랜드로부터 전 세계적인 DDoS 공격을 받고 있습니다. 보안 엔지니어가 ALB와 연결할 AWS WAF 웹 ACL을 생성 중이며, 고객에게 영향을 주지 않으면서 현재와 미래에 이러한 요청을 차단하는 규칙을 추가해야 합니다. 어떤 규칙 문이 이러한 요구 사항을 충족합니까?

User-Agent 헤더의 IoT 장치 브랜드 세부 정보와 일치하는 문자열 일치 규칙 문을 사용하면 특정 IoT 장치에서 오는 요청을 정확하게 식별하고 차단할 수 있습니다. 이는 공격의 고유한 특징(User-Agent 헤더)을 직접적으로 대상으로 하므로, 현재뿐만 아니라 미래에도 동일한 장치로부터의 공격을 효과적으로 방어할 수 있습니다. IoT 장치의 IP 주소가 포함된 IP 세트 일치 규칙 문은 IoT 장치의 IP 주소가 변경될 수 있으므로 지속적인 방어에 비효율적입니다. 지리적 일치 규칙 문은 합법적인 사용자에게도 영향을 줄 수 있어 고객에게 영향을 주지 않으면서 차단한다는 요구 사항을 충족하지 못합니다. 속도 기반 규칙 문은 모든 요청에 적용되어 합법적인 트래픽도 차단할 수 있으며, 특정 User-Agent를 가진 공격을 정확히 대상으로 하지 못합니다.