Bir şirket, us-east-1'deki bir S3 bucket'ından herkese açık bir web sitesini barındırıyor ve bu siteyi bir Amazon CloudFront dağıtımı aracılığıyla sunuyor. Şirket, DDoS saldırılarına karşı korunmak istiyor ve azaltmayı tetikleyen oran eşiği üzerinde hassas kontrole ihtiyaç duyuyor. Hangi dağıtım bu ihtiyacı karşılar?

Doğru seçenek, DDoS saldırılarına karşı korunmak ve oran eşiği üzerinde hassas kontrol sağlamak için en uygun AWS WAF yapılandırmasını sunar. AWS WAF'ın CloudFront dağıtımıyla ilişkilendirilmesi, istekler CloudFront'a ulaşır ulaşmaz filtrelenmesini sağlar ve S3'e ulaşmadan kötü niyetli trafiği engeller. Global (CloudFront kapsamı) bir web ACL, CloudFront dağıtımlarıyla ilişkilendirilebilir. Varsayılan eylemin "izin ver" olarak ayarlanması, açıkça engellenmeyen tüm trafiğin geçmesine izin verirken, oran tabanlı bir kuralın "engelle" eylemiyle eklenmesi, belirli bir eşiği aşan istekleri otomatik olarak bloke ederek DDoS koruması sağlar. Diğer seçenekler yanlıştır çünkü: us-east-1 kapsamlı bir WAF web ACL, CloudFront dağıtımıyla değil, yalnızca bölgesel kaynaklarla (örneğin, Application Load Balancer) ilişkilendirilebilir. Ayrıca, WAF'ı doğrudan S3 bucket'ı ile ilişkilendirmek mümkün değildir. Varsayılan eylemi "engelle" olarak ayarlamak, açıkça izin verilmeyen tüm trafiği engeller ve bu, web sitesinin normal çalışmasını aksatabilir. Oran tabanlı kuralın "izin ver" olarak ayarlanması ise DDoS koruması sağlamaz.