Een bedrijf gebruikt Amazon CloudFront met twee origins: een dynamische applicatie op Amazon EC2 en een Amazon S3-bucket voor statische content. Een beveiligingsaudit heeft uitgewezen dat HTTPS-responses van de applicatie de X-Frame-Options HTTP-header missen, die nodig is om clickjacking te beperken. Een beveiligingsengineer moet ervoor zorgen dat de gehele stack compliant is door de header toe te voegen aan responses. Welke aanpak voldoet aan deze vereiste?

De correcte aanpak is het implementeren van een Lambda@Edge-functie die de X-Frame-Options-header toevoegt en deze te activeren op de CloudFront origin response-gebeurtenis. Deze gebeurtenis vindt plaats nadat CloudFront een antwoord van de origin (EC2 of S3) heeft ontvangen, maar voordat het antwoord naar de viewer wordt doorgestuurd. Hierdoor kan de header consistent worden toegevoegd, ongeacht de origin, en wordt clickjacking effectief beperkt. Het activeren op de viewer request-gebeurtenis is onjuist omdat deze plaatsvindt voordat het antwoord van de origin is ontvangen; op dat moment is er nog geen response om de header aan toe te voegen. Het bijwerken van de CloudFront-distributie om X-Frame-Options als custom header toe te voegen in de origin-instellingen is niet mogelijk; CloudFront ondersteunt het toevoegen van custom headers aan requests naar de origin, niet aan responses van de origin naar de viewer. Het wijzigen van de op EC2 gehoste applicatie zou de header alleen voor de dynamische content toevoegen, niet voor de statische content van S3, wat niet voldoet aan de vereiste voor de "gehele stack".