De webapplicatie van een bedrijf draait achter een Application Load Balancer (ALB). De applicatie wordt getroffen door een credential stuffing-aanval, wat leidt tot veel mislukte inlogpogingen vanaf tal van IP-adressen. Alle kwaadaardige verzoeken delen dezelfde user-agent string van een bekende mobiele apparaatemulator. De oplossing moet de aanval beperken en tegelijkertijd legitieme aanmeldingen toestaan. Welke aanpak voldoet aan deze vereisten?

De juiste aanpak is het maken van een AWS WAF web ACL voor de ALB met een aangepaste regel die verzoeken blokkeert die de user-agent string van de apparaatemulator bevatten. AWS WAF is ontworpen om webapplicaties te beschermen tegen veelvoorkomende web exploits, waaronder credential stuffing-aanvallen. Door een aangepaste regel te configureren die specifiek de kwaadaardige user-agent string blokkeert, kan de aanval effectief worden beperkt zonder legitieme gebruikers te beïnvloeden. Het aanmaken van een CloudWatch-alarm is onvoldoende, omdat dit alleen waarschuwt en de aanval niet stopt. Het wijzigen van de security group om aanvallende IP-adressen te weigeren is inefficiënt en onpraktisch bij een credential stuffing-aanval, die vaak van veel verschillende IP-adressen afkomstig is. Een regel die alleen bekende legitieme user-agent strings toestaat, is te restrictief en kan legitieme gebruikers blokkeren die een onverwachte user-agent string gebruiken.