Globalna firma edukacyjna uruchamia aplikację internetową na ECS w grupie Auto Scaling za ALB. Co tydzień usługa uwierzytelniania jest przeciążana przez gwałtowny wzrost nieudanych prób logowania pochodzących z około 500 adresów IP, które zmieniają się co tydzień. Architekt rozwiązań musi zapobiec przeciążeniu usługi uwierzytelniania przez te nieudane próby logowania, zachowując najwyższą wydajność operacyjną. Które rozwiązanie spełnia ten wymóg?

Prawidłowa odpowiedź to utworzenie web ACL AWS WAF z regułą opartą na szybkości (rate-based rule) i powiązanie jej z ALB. Reguła oparta na szybkości automatycznie blokuje adresy IP, które przekraczają skonfigurowany próg żądań w określonym czasie, co jest idealne do dynamicznego reagowania na zmieniające się adresy IP atakujących i zapobiegania przeciążeniu usługi uwierzytelniania. Pozostałe opcje są mniej skuteczne: Użycie AWS Firewall Manager do tworzenia polityk grup zabezpieczeń do odrzucania ruchu wymagałoby ręcznej aktualizacji 500 zmieniających się adresów IP co tydzień, co jest nieefektywne. Tworzenie polityk grup zabezpieczeń zezwalających tylko na określone zakresy CIDR nie rozwiązuje problemu złośliwych prób logowania z dynamicznie zmieniających się adresów IP. Reguła dopasowania zestawu IP w AWS WAF również wymagałaby ręcznej aktualizacji listy 500 adresów IP co tydzień, co jest niepraktyczne.