ApexVideo 營運一個全球串流平台，該平台由 Amazon CloudFront 作為前端，並以 Application Load Balancer 作為來源。最近一次 DDoS 攻擊導致了劇烈的擴展和高額的 egress 費用。CISO 希望在不改變應用程式架構的情況下，將未來 DDoS 事件的財務風險降到最低。安全團隊應該怎麼做，才能確保因 DDoS 事件導致的意外擴展費用獲得 AWS 抵用金？

正確答案是訂閱 AWS Shield Advanced，將 CloudFront distribution 和 ALB 新增為受保護資源，並在事件發生時聯繫 DDoS Response Team 並開啟帳務支援案例，以申請 DDoS 成本保護抵用金。AWS Shield Advanced 提供 DDoS 成本保護，承諾在 DDoS 事件期間，針對受保護資源的擴展費用提供抵用金。這符合 CISO 在不改變應用程式架構的情況下，降低財務風險的要求。啟用 AWS WAF rate-based rules 可以減輕 DDoS 攻擊，但無法自動退還費用。購買 Compute Savings Plans 雖然可以降低 EC2 成本，但無法針對 DDoS 攻擊造成的突發性擴展費用提供抵用金。升級到 Enterprise Support 可以獲得更快的支援，但無法自動免除 DDoS 相關的服務費用，仍需透過 Shield Advanced 的成本保護機制。