Een financieel bedrijf host een webapplicatie die een Amazon API Gateway Regional API-eindpunt gebruikt om actuele aandelenkoersen te leveren. Het beveiligingsteam heeft een toename in API-verzoeken opgemerkt en maakt zich zorgen over HTTP flood-aanvallen die de applicatie offline halen. Een solutions architect moet een beveiliging ontwerpen met de MINSTE operationele overhead. Welke oplossing voldoet aan deze vereiste?

De juiste oplossing is het maken van een regionale AWS WAF web ACL met een rate-based rule en deze te koppelen aan de API Gateway stage. AWS WAF is een webapplicatie-firewall die helpt bij het beschermen van webapplicaties tegen veelvoorkomende web-exploits. Een rate-based rule detecteert en blokkeert automatisch IP-adressen die een vooraf gedefinieerd aantal verzoeken binnen een bepaalde periode overschrijden, wat effectief is tegen HTTP flood-aanvallen met minimale operationele overhead. Het gebruik van Amazon CloudFront met een maximale TTL van 24 uur zou caching introduceren, wat de levering van actuele aandelenkoersen zou belemmeren. Het monitoren met CloudWatch metrics en het waarschuwen van het beveiligingsteam is reactief en voorkomt de aanval niet. CloudFront met Lambda@Edge om IP-adressen te blokkeren is complexer en heeft meer operationele overhead dan een simpele WAF rate-based rule.