Публичный ALB компании NewsFlare Media подвергается крупным объемным DDoS-атакам и бот-трафику, осуществляющему подбор учетных данных (credential stuffing). Они хотят сократить расходы на масштабирование во время атак и применять управляемые правила и правила на основе скорости с минимальными изменениями в приложении. Какие два действия должна предпринять команда безопасности? (Выберите два.)

Размещение ALB за Amazon CloudFront и защита дистрибутива с помощью AWS Shield Advanced является эффективным решением. CloudFront действует как CDN, кэшируя контент и распределяя трафик, что снижает нагрузку на ALB. Shield Advanced обеспечивает расширенную защиту от DDoS-атак уровня 3/4 и 7, включая автоматическое смягчение последствий. Связывание веб-ACL AWS WAF с дистрибутивом CloudFront, используя AWS Managed Rules и правило на основе скорости, позволяет блокировать известные угрозы и ограничивать трафик от подозрительных источников, таких как боты, осуществляющие подбор учетных данных, без изменения приложения. Создание записей запрета в сетевых ACL VPC для каждого обнаруженного IP-адреса неэффективно для крупномасштабных DDoS-атак, так как IP-адреса постоянно меняются. Включение Amazon GuardDuty полезно для обнаружения угроз, но не обеспечивает автоматического смягчения DDoS-атак и подбора учетных данных. Shield Standard не предоставляет достаточной защиты от сложных DDoS-атак и не включает защиту от подбора учетных данных. SYN cookies помогают при объемных атаках, но не решают проблему подбора учетных данных и не являются комплексным решением.