Een wereldwijd onderwijsbedrijf runt een webapp op ECS in een Auto Scaling-groep achter een ALB. Wekelijks wordt de authenticatieservice overweldigd door een golf van mislukte inlogpogingen afkomstig van ongeveer 500 IP-adressen die elke week veranderen. Een solutions architect moet voorkomen dat deze mislukte inlogpogingen de authenticatieservice overbelasten met de meeste operationele efficiëntie. Welke oplossing voldoet aan deze vereiste?

De correcte optie is het maken van een AWS WAF web ACL met een rate-based rule en deze koppelen aan de ALB. Dit is de meest efficiënte oplossing omdat de IP-adressen wekelijks veranderen. Een rate-based rule detecteert en blokkeert automatisch clients die een geconfigureerde drempelwaarde voor aanvragen overschrijden, zonder handmatige updates van IP-adressen. Dit voorkomt overbelasting van de authenticatieservice door de golf van mislukte inlogpogingen. Het gebruik van AWS Firewall Manager om een security group te maken die verkeer van specifieke IP-adressen weigert, is niet efficiënt omdat de IP-adressen wekelijks veranderen, wat constante handmatige updates zou vereisen. Hetzelfde geldt voor een AWS WAF web ACL met een IP set match rule; deze vereist handmatige updates van de IP-set. Het beperken van toegang tot specifieke CIDR-bereiken via Firewall Manager zou legitieme gebruikers kunnen blokkeren en is niet gericht op het probleem van mislukte inlogpogingen van veranderende kwaadwillende IP's.