某公司在 Application Load Balancer (ALB) 後方的 Amazon EC2 實例上託管了一個 Web 應用程式。該應用程式目前正遭受 DoS 攻擊。日誌顯示請求來自一小部分頻繁變動的客戶端 IP 位址。該公司需要以最少的持續營運工作來阻擋惡意流量。哪種解決方案符合這些要求？

正確答案是建立一個 AWS WAF 速率型規則並將其與 ALB 關聯。AWS WAF 速率型規則可以自動識別並阻擋來自單一 IP 位址的過多請求，這正是 DoS 攻擊的典型模式，且能有效應對頻繁變動的 IP 位址。將其與 ALB 關聯，可以在流量到達 EC2 實例之前就進行過濾，減少應用程式的負載和營運工作。 更新連接到 ALB 的安全群組以阻擋攻擊的 IP 位址是不可行的，因為安全群組是針對允許流量而非阻擋特定 IP。更新 ALB 子網路的網路 ACL 以阻擋攻擊的客戶端 IP 位址雖然可以阻擋，但由於攻擊 IP 頻繁變動，手動更新會產生巨大的營運負擔，不符合「最少的持續營運工作」要求。建立一個 AWS WAF 速率型規則並將其連接到 EC2 實例的安全群組是錯誤的，因為 AWS WAF 是與 ALB 或 CloudFront 等服務關聯，而不是直接與 EC2 實例的安全群組關聯。