某公司的網路應用程式在 Application Load Balancer (ALB) 後方執行。該應用程式正遭受憑證填充攻擊，導致來自眾多 IP 位址的登入嘗試失敗。所有惡意請求都共用來自已知行動裝置模擬器的相同 user-agent 字串。該解決方案必須在允許合法登入的同時，減輕攻擊。哪種方法符合這些要求？

正確答案是建立一個 AWS WAF web ACL，其中包含一個自訂規則，用於封鎖包含該裝置模擬器 user-agent 字串的請求。AWS WAF 能夠在應用程式負載平衡器 (ALB) 前方檢查 HTTP/S 請求，並根據請求的特定屬性（例如 user-agent 字串）來封鎖或允許流量。透過設定一個規則來封鎖來自已知惡意 user-agent 字串的請求，可以有效緩解憑證填充攻擊，同時不影響合法使用者。 其他選項不符合要求： 建立 CloudWatch 警報和 SNS 通知僅能通知攻擊發生，無法主動緩解攻擊。 修改 ALB 的入站安全群組以拒絕來自攻擊 IP 位址的流量是不可行的，因為憑證填充攻擊通常來自許多不同的 IP 位址，且這些 IP 位址可能不斷變化，手動管理會非常困難且效率低下。 建立一個 AWS WAF web ACL 僅允許來自已知合法 user-agent 字串的請求會過於嚴格，可能會意外封鎖合法使用者，因為合法的 user-agent 字串種類繁多且不斷變化。