Веб-сайт электронной коммерции работает на инстансах Amazon EC2 за балансировщиком нагрузки Application Load Balancer (ALB) в группе Auto Scaling. Сайт испытывает высокую частоту запросов от нелегитимных внешних систем, IP-адреса которых часто меняются. Команда безопасности обеспокоена потенциальными DDoS-атаками. Компания должна блокировать эти нелегитимные запросы с минимальным влиянием на легитимных пользователей. Что должен порекомендовать архитектор решений?

AWS WAF (Web Application Firewall) идеально подходит для защиты веб-приложений от распространенных веб-эксплойтов, которые могут повлиять на доступность, поставить под угрозу безопасность или потреблять чрезмерные ресурсы. Привязка AWS WAF к ALB позволяет фильтровать трафик до того, как он достигнет инстансов EC2. Настройка правила ограничения скорости (rate-limiting rule) в AWS WAF эффективно блокирует запросы от IP-адресов, которые генерируют аномально высокий объем трафика за короткий промежуток времени, что характерно для DDoS-атак или сканирования. Это минимизирует влияние на легитимных пользователей, поскольку блокируются только подозрительные запросы. Amazon Inspector — это служба оценки уязвимостей, а не средство защиты от DDoS. Сетевые ACL (NACL) работают на уровне подсети и не могут эффективно блокировать динамически меняющиеся IP-адреса или сложные атаки на уровне приложений. Amazon GuardDuty — это служба обнаружения угроз, а не служба предотвращения; она не имеет встроенных функций ограничения скорости для активной блокировки трафика.