Een bedrijf beheert een webgebaseerd accountbeheerportaal voor een online game. Gebruikers melden zich aan met een unieke gebruikersnaam en wachtwoord. Het portaal wordt geleverd door een Application Load Balancer die wordt beschermd door een AWS WAF web-ACL met de AWS managed Core Rule Set (CRS). Het beveiligingsteam heeft een credential stuffing-aanval gedetecteerd met behulp van credentials die zijn blootgesteld bij andere datalekken. Het team moet de kans op succesvolle credential stuffing verkleinen en tegelijkertijd de impact op legitieme gebruikers minimaliseren. Welke combinatie van acties voldoet aan deze vereisten? (Kies twee.)

De AWS WAF Account Takeover Prevention (ATP) managed rule group is specifiek ontworpen om credential stuffing-aanvallen te detecteren en te mitigeren. Door deze toe te voegen en te configureren om verzoeken met het label awswaf:managed:aws:atp:signal:credentialcompromised te blokkeren, worden pogingen met gelekte credentials effectief gestopt. Het maken van een aangepaste Amazon CloudWatch-metriek om het aantal succesvolle login-responses van één IP-adres te analyseren, helpt bij het identificeren van verdacht gedrag dat duidt op credential stuffing, zoals een hoog succespercentage vanaf één bron, wat dan kan leiden tot verdere mitigerende acties. Het instellen van een CAPTCHA voor alle logins zou de gebruikerservaring aanzienlijk verslechteren en is niet specifiek gericht op credential stuffing. IP-gebaseerde blokkades op basis van succesvolle logins kunnen legitieme gebruikers met gedeelde IP-adressen (bijv. vanuit kantoren) onterecht blokkeren. Een aangepaste blokkeerrespons die omleidt naar een wachtwoordreset workflow is reactief en voorkomt de aanval niet direct.