Firma finansowa hostuje aplikację internetową, która wykorzystuje regionalny punkt końcowy API Amazon API Gateway do dostarczania bieżących cen akcji. Zespół bezpieczeństwa zauważył wzrost liczby żądań API i obawia się, że ataki typu HTTP flood mogą spowodować niedostępność aplikacji. Architekt rozwiązań musi zaprojektować ochronę o NAJMNIEJSZYM narzucie operacyjnym. Które rozwiązanie spełnia ten wymóg?

Poprawna odpowiedź to utworzenie regionalnej listy kontroli dostępu do sieci (web ACL) AWS WAF z regułą opartą na szybkości i skojarzenie jej z etapem API Gateway. AWS WAF to usługa zapory aplikacji internetowych, która pomaga chronić aplikacje internetowe lub interfejsy API przed typowymi exploitami internetowymi i botami, które mogą wpływać na dostępność, naruszać bezpieczeństwo lub zużywać nadmierne zasoby. Reguła oparta na szybkości automatycznie blokuje adresy IP, które wysyłają zbyt wiele żądań w określonym czasie, co jest skuteczną obroną przed atakami HTTP flood przy minimalnym narzucie operacyjnym. Pozostałe opcje są mniej optymalne: Utworzenie dystrybucji Amazon CloudFront z maksymalnym TTL wynoszącym 24 godziny nie chroni przed atakami HTTP flood, ponieważ CloudFront buforuje treści, ale nie blokuje złośliwych żądań. Użycie metryk Amazon CloudWatch do monitorowania i powiadamiania jest reaktywne, a nie proaktywne, i nie blokuje ataków. Utworzenie dystrybucji Amazon CloudFront z Lambda@Edge i funkcją AWS Lambda do blokowania żądań jest bardziej złożone i wymaga większego narzutu operacyjnego niż gotowe rozwiązanie WAF.