Веб-сайт работает на инстансах EC2 в группе Auto Scaling за Application Load Balancer (ALB). С ALB связана веб-ACL AWS WAF. Сайт подвергается атакам на уровне приложений, которые вызывают внезапное значительное увеличение трафика. Журналы доступа WAF показывают, что атаки исходят со множества различных IP-адресов. Какое средство защиты требует наименьших операционных затрат?

AWS Shield Advanced обеспечивает расширенную защиту от DDoS-атак на уровне приложений и сети, автоматически обнаруживая и смягчая их, что значительно снижает операционные затраты по сравнению с ручной настройкой. Он интегрируется с AWS WAF, позволяя создавать собственные правила для дополнительной защиты. Оповещения CloudWatch с автоматическим добавлением IP-адресов в WAF требуют разработки и поддержки сложной логики, а также могут быть неэффективны против распределенных атак с большим количеством IP-адресов. Аналогично, использование CloudWatch для вызова Lambda-функции для изменения таблиц маршрутизации является сложным и может привести к нежелательным блокировкам легитимного трафика. Блокировка по странам через Route 53 может быть слишком агрессивной, блокируя легитимных пользователей из этих регионов, и неэффективна, если атаки исходят из множества стран или используют VPN/прокси.