Firma uruchamia samodzielnie zarządzane rozwiązanie DNS w AWS, które składa się z instancji Amazon EC2 w różnych regionach AWS oraz punktów końcowych standardowego akceleratora w AWS Global Accelerator. Firma chce chronić to rozwiązanie przed atakami DDoS. Co powinien zrobić architekt rozwiązań, aby spełnić ten wymóg?

Prawidłowa odpowiedź to subskrypcja AWS Shield Advanced i dodanie akceleratora jako zasobu do ochrony. AWS Shield Advanced zapewnia kompleksową ochronę przed atakami DDoS dla aplikacji działających w AWS, w tym dla AWS Global Accelerator. Chroni przed atakami wolumetrycznymi, protokołowymi i aplikacyjnymi. Dodanie akceleratora jako zasobu do ochrony gwarantuje, że ruch kierowany przez Global Accelerator będzie monitorowany i chroniony. Dodanie instancji EC2 jako zasobów do ochrony w Shield Advanced jest mniej efektywne, ponieważ Global Accelerator jest punktem wejścia i to on powinien być chroniony w pierwszej kolejności. Utworzenie listy kontroli dostępu (web ACL) AWS WAF z regułą opartą na szybkości jest przydatne do ochrony przed atakami warstwy 7, ale AWS WAF nie chroni przed atakami DDoS na niższych warstwach (3 i 4), które są domeną Shield Advanced. Powiązanie WAF z instancjami EC2 również nie jest optymalne, gdyż Global Accelerator jest frontem rozwiązania.