Een bedrijf draait een zelfbeheerde DNS-oplossing op AWS die bestaat uit Amazon EC2-instances in verschillende AWS-regio's en endpoints van een standaard accelerator in AWS Global Accelerator. Het bedrijf wil deze oplossing beschermen tegen DDoS-aanvallen. Wat moet een solutions architect doen om aan deze vereiste te voldoen?

AWS Shield Advanced biedt uitgebreide DDoS-bescherming voor applicaties die op AWS draaien. Door de Global Accelerator toe te voegen als te beveiligen resource, wordt de DNS-oplossing beschermd op de rand van het AWS-netwerk, voordat verkeer de EC2-instances bereikt. Dit is cruciaal voor het afweren van volumetrische DDoS-aanvallen die de beschikbaarheid van de DNS-service kunnen beïnvloeden. Het toevoegen van de EC2-instances aan Shield Advanced is minder effectief omdat de Global Accelerator het inkomende verkeer al beheert. AWS WAF is nuttig voor bescherming tegen web-applicatielagen (laag 7) aanvallen, maar is minder geschikt voor volumetrische DDoS-aanvallen op de netwerk- en transportlagen (laag 3 en 4) die Global Accelerator en Shield Advanced primair aanpakken. Het koppelen van WAF aan de EC2-instances zou ook te laat zijn in de verkeersstroom voor optimale DDoS-mitigatie.