Witryna e-commerce działa na instancjach Amazon EC2 za Application Load Balancer (ALB) w grupie Auto Scaling. Witryna doświadcza wysokich wskaźników żądań z nielegalnych systemów zewnętrznych, których adresy IP często się zmieniają. Zespół bezpieczeństwa obawia się potencjalnych ataków DDoS. Firma musi blokować te nielegalne żądania przy minimalnym wpływie na legalnych użytkowników. Co powinien zarekomendować architekt rozwiązań?

Poprawna odpowiedź to wdrożenie AWS WAF, skojarzenie go z ALB i skonfigurowanie reguły ograniczania szybkości (rate-limiting). AWS WAF (Web Application Firewall) jest usługą zaprojektowaną do ochrony aplikacji webowych przed typowymi atakami, takimi jak ataki DDoS warstwy 7. Można go skojarzyć bezpośrednio z ALB. Reguła ograniczania szybkości (rate-limiting) w WAF skutecznie blokuje adresy IP generujące nadmierną liczbę żądań w krótkim czasie, co jest idealne do zwalczania ataków z często zmieniających się adresów IP, minimalizując wpływ na legalnych użytkowników. Amazon Inspector to usługa do automatycznego skanowania bezpieczeństwa instancji EC2 i aplikacji, nie chroni bezpośrednio przed atakami DDoS. Reguły w sieciowych listach kontroli dostępu (network ACLs) działają na poziomie podsieci i są bezstanowe; blokowanie konkretnych adresów IP, które często się zmieniają, byłoby nieefektywne i trudne w zarządzaniu. Amazon GuardDuty to usługa wykrywania zagrożeń, która monitoruje konta AWS pod kątem złośliwej aktywności, ale nie oferuje bezpośredniej ochrony przed DDoS ani funkcji ograniczania szybkości ruchu warstwy 7.