Een bedrijf host zijn openbare website op Amazon EC2-instances achter een Application Load Balancer (ALB). De site wordt wereldwijd aangevallen met een DDoS-aanval van een specifiek IoT-apparaatmerk dat een onderscheidende User-Agent-header heeft. Een beveiligingsengineer maakt een AWS WAF web-ACL om te koppelen aan de ALB en moet een regel toevoegen die deze verzoeken nu en in de toekomst blokkeert zonder klanten te beïnvloeden. Welke regel voldoet aan deze vereisten?

De correcte optie is het gebruik van een string match rule statement dat overeenkomt met de merkdetails van het IoT-apparaat in de User-Agent header. De User-Agent header is onderscheidend voor het specifieke IoT-apparaatmerk dat de aanval uitvoert. Door deze header te matchen, kan AWS WAF de kwaadaardige verzoeken nauwkeurig blokkeren zonder legitieme gebruikers te beïnvloeden, die een andere User-Agent header zullen hebben. Een IP set match rule statement is minder effectief omdat de IP-adressen van de IoT-apparaten kunnen veranderen, wat constante updates van de IP-set vereist. Een geographic match rule statement zou legitieme gebruikers in de geblokkeerde landen ten onrechte blokkeren. Een rate-based rule statement is niet ideaal omdat het legitieme, maar hoogfrequente, verkeer kan blokkeren en mogelijk niet alle aanvallende verzoeken stopt als de aanval onder de limiet blijft of van veel verschillende IP's komt.