グローバルな EC サイトを CloudFront + Application Load Balancer (ALB) + EC2 で運用しています。SQL インジェクションや XSS（クロスサイトスクリプティング）攻撃をエッジで遮断したいと考えています。カスタムルールの開発・維持コストを最小化しながら、最も効果的に攻撃を防御する方法はどれですか？
正解： CloudFront ディストリビューションに AWS WAF Web ACL をアタッチし、AWS マネージドルールグループ（Core rule set および SQL database）を有効にする。 AWS WAF のマネージドルールグループは AWS および AWS Marketplace セラーが定期的に更新するルールセットであり、SQL インジェクションや XSS などの代表的な攻撃パターンをカスタムルール開発なしで防御できます。CloudFront にアタッチすることでエッジロケーションで遮断が行われ、オリジンへの悪意あるトラフィックを削減できます。 選択肢Bは、ALBリスナーにLambdaを組み合わせる方法は包括的なWAFルールを自力で実装・維持する必要があり、カスタムルール開発コスト最小化の要件に反します。 選択肢Cは、CloudFront の地域制限機能（Geo Restriction）でリスクの高い国からのアクセスをブロックするのは国単位のブロックであり攻撃種別を問わないため、SQLインジェクション・XSSへのピンポイントな防御には不向きです。 選択肢Dは、EC2 インスタンスに ModSecurity をインストールする方法はOSSのWAFとして機能しますが、ルールの更新・維持をすべて手動で行う必要があり運用負荷が高く、エッジでの防御もできません。