Publiczne API działa jako zadania Amazon ECS na AWS Fargate za Application Load Balancer (ALB). Service Auto Scaling skaluje zadania w oparciu o użycie procesora. Ostatnio, fala ataków SQL injection spowodowała, że usługa osiągnęła swoje maksimum, a API stało się bezużyteczne. Architekt musi powstrzymać ataki SQL injection przed dotarciem do usługi ECS, zezwolić na legalny ruch i zmaksymalizować efektywność operacyjną. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź to utworzenie nowej listy kontroli dostępu do sieci (web ACL) AWS WAF z regułą blokującą żądania pasujące do zarządzanej grupy reguł SQL database, a następnie dołączenie jej do ALB. AWS WAF to zapora aplikacji internetowych, która pomaga chronić aplikacje internetowe przed typowymi lukami w zabezpieczeniach, takimi jak ataki SQL injection. Zarządzana grupa reguł SQL database jest specjalnie zaprojektowana do wykrywania i blokowania tego typu ataków, co bezpośrednio rozwiązuje problem. Ustawienie web ACL tak, aby zezwalała na cały inny ruch, zapewnia, że legalny ruch nie zostanie zablokowany. Pozostałe opcje są mniej skuteczne lub nieoptymalne. Pierwsza opcja jest zbyt ogólna; samo monitorowanie nie zapobiegnie atakom. Druga opcja, AWS WAF Bot Control, jest przeznaczona do zarządzania ruchem botów, a nie do specyficznych ataków SQL injection. Czwarta opcja, oparta na dynamicznym blokowaniu adresów IP za pomocą funkcji Lambda i zestawów IP, jest reaktywna i może być zbyt wolna, aby skutecznie zatrzymać falę ataków, a także może blokować legalnych użytkowników, jeśli ich adresy IP zostaną błędnie zidentyfikowane.