DoS対策ポリシーの「group-by: source-ip」設定は、しきい値の集計方法を決定します。この場合、ファイアウォールは送信元IPごとにTCP SYN、UDPパケット、セッション数をカウントします。単一の送信元IPが「アクティベーションレート」（例：10000 TCP SYN/秒）を超えると、その送信元に対して対応するアクション（syn-cookie）が適用されます。これは、単一送信元からの直接的なDoS攻撃に対して非常に効果的です。しかし、多数の送信元IPがそれぞれ少量のトラフィックを送信する高度に分散されたDoS（DDoS）の場合、個々の「送信元IPごと」のしきい値がトリガーされず、集約攻撃が成功する可能性があります。DDoSに対抗するには、グローバルしきい値（「group-by」なし、または「group-by: none」あり）、あるいは送信元ごとのしきい値とグローバルしきい値の組み合わせが必要になることがよくあります。オプションAは部分的に正しいですが、本来の意味ではなく結果に焦点を当てています。オプションBは不正解です。「group-by」は攻撃の送信元に関するもので、宛先に関するものではありません。オプションCは制限事項を誤解しています。オプションDは不正解です。「group-by: source-ip」はターゲットルールの有効かつ一般的な設定です。