一個公開的 API 在 AWS Fargate 上的 Amazon ECS 任務中運行，位於 Application Load Balancer (ALB) 後方。Service Auto Scaling 會根據 CPU 擴展任務。最近，SQL 注入攻擊激增導致服務擴展到最大，API 變得無法使用。架構師必須阻止 SQL 注入攻擊到達 ECS 服務，允許合法流量，並最大化營運效率。哪種解決方案符合這些要求？

正確答案是建立一個新的 AWS WAF web ACL，新增一個規則來阻擋符合 SQL database 規則群組的請求，並將 web ACL 設定為允許所有不符合這些規則的其他流量，然後將 web ACL 附加到 ECS 任務前方的 ALB。這個方法直接利用 AWS WAF 內建的 SQL database 規則群組來偵測並阻擋 SQL 注入攻擊，無需手動定義複雜的規則，最大化了營運效率。透過將其附加到 ALB，WAF 可以在惡意流量到達 ECS 服務之前就將其攔截，保護後端服務並允許合法流量通過。 其他選項的不足之處： 僅監控 HTTP/HTTPS 請求並不能主動阻擋攻擊。 AWS WAF Bot Control 主要用於管理機器人流量，而非針對 SQL 注入等特定應用層攻擊。 透過 Lambda 函數動態更新 IP set 來阻擋 SQL 注入的 IP 是一種反應式而非預防性的措施，且管理複雜度較高，無法即時阻擋首次攻擊。