Публичный API работает как задачи Amazon ECS на AWS Fargate за Application Load Balancer (ALB). Service Auto Scaling масштабирует задачи на основе использования ЦП. Недавно всплеск атак SQL-инъекций привел к масштабированию сервиса до максимума, и API стал непригодным для использования. Архитектор должен предотвратить достижение атак SQL-инъекций сервиса ECS, разрешить легитимный трафик и максимально повысить операционную эффективность. Какое решение соответствует этим требованиям?

Правильный ответ — создание нового AWS WAF web ACL с правилом, блокирующим запросы, соответствующие управляемой группе правил SQL database. Это решение напрямую предотвращает атаки SQL-инъекций, поскольку AWS WAF анализирует входящий трафик на уровне ALB и блокирует вредоносные запросы до того, как они достигнут задач ECS. Настройка web ACL на разрешение всего остального трафика гарантирует, что легитимные запросы не будут затронуты, что соответствует требованию по разрешению легитимного трафика. Использование управляемой группы правил AWS WAF обеспечивает высокую операционную эффективность, поскольку AWS управляет и обновляет эти правила, не требуя ручного вмешательства. Другие варианты менее оптимальны: Простое создание нового AWS WAF web ACL для мониторинга не предотвратит атаку, так как не включает правила блокировки. Использование AWS WAF Bot Control предназначено для борьбы с ботами, а не конкретно с SQL-инъекциями, и может быть избыточным или неэффективным для этой конкретной угрозы. Создание функции Lambda для динамического добавления IP-адресов в IP set является реактивным подходом, который не предотвращает первую атаку и добавляет операционную сложность.