Q19 — AWS SAP-C02 第3章

第 19/75 题 | ← 返回第3章

Q244. 一家公司有一个在Application Load Balancer (ALB)后面的Amazon EC2实例上运行的网站。实例位于Auto Scaling组中。ALB与AWS WAF Web ACL关联。该网站经常遇到应用程序层攻击。这些攻击在应用程序服务器上产生突然且显著的流量增加。访问日志显示每次攻击来自不同的IP地址。解决方案架构师需要实施一个解决方案来缓解这些攻击。 哪种解决方案能以最少的运营开销满足这些要求？

• A. 创建监控服务器访问的Amazon CloudWatch告警。设置基于IP地址访问的阈值。配置告警操作将IP地址添加到Web ACL的拒绝列表中。
• B. 除AWS WAF外还部署AWS Shield Advanced。将ALB添加为受保护资源。 ✓
• C. 创建监控用户IP地址的Amazon CloudWatch告警。设置基于IP地址访问的阈值。配置告警调用AWS Lambda函数，将触发告警的任何IP地址的拒绝规则添加到应用程序服务器子网路由表中。
• D. 检查访问日志以查找发起攻击的IP地址模式。使用Amazon Route 53地理位置路由策略拒绝来自托管这些IP地址的国家的流量。

正确答案: B. 除AWS WAF外还部署AWS Shield Advanced。将ALB添加为受保护资源。

解析

选项A不正确，因为手动将IP地址添加到Web ACL的拒绝列表需要持续监控访问日志，这不是一个可扩展或高效的解决方案。选项C不正确，因为在应用程序服务器子网路由表中添加拒绝规则可能很复杂，也没有解决攻击导致的流量突然大幅增加的问题。选项D不正确，因为识别攻击IP地址的模式可能很耗时，且无法保证所有未来攻击都来自相同的国家。 选项B是最佳解决方案，因为它涉及在AWS WAF之外部署AWS Shield Advanced，后者提供高级DDoS防护和缓解。将ALB添加为受保护资源可确保网站在无需额外配置或管理开销的情况下防御网络层和应用程序层攻击。