Firma hostuje swoją publiczną witrynę e-commerce na AWS. Witryna wykorzystuje akcelerator AWS Global Accelerator do obsługi ruchu internetowego. Akcelerator przekazuje ruch do Application Load Balancer (ALB), który znajduje się przed grupą Auto Scaling. Firma niedawno wykryła atak DDoS i chce znaleźć rozwiązanie, które złagodzi przyszłe ataki przy NAJMNIEJSZYM wysiłku wdrożeniowym. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź to skonfigurowanie listy kontroli dostępu do sieci (web ACL) AWS WAF na ALB. AWS WAF może być zintegrowany z Application Load Balancerem (ALB) i oferuje reguły oparte na szybkości (rate-based rules), które automatycznie blokują adresy IP generujące nadmierny ruch, skutecznie łagodząc ataki DDoS warstwy 7. Jest to rozwiązanie o najmniejszym wysiłku wdrożeniowym, ponieważ ALB jest już częścią architektury. Nieprawidłowe opcje: Konfiguracja AWS WAF dla Global Accelerator nie jest możliwa, ponieważ Global Accelerator nie obsługuje bezpośrednio integracji z WAF. Użycie funkcji AWS Lambda do aktualizacji sieciowej listy ACL VPC jest zbyt złożone i reaktywne, a także mniej efektywne niż WAF w przypadku ataków DDoS warstwy 7. Umieszczenie Amazon CloudFront przed Global Accelerator jest niepotrzebne i dodaje złożoności, ponieważ Global Accelerator już zapewnia optymalizację routingu i odporność na ataki DDoS warstwy 3/4.