DDoS 対策 - AWS Shield による多層防御の設計と運用

DDoS 攻撃の脅威と AWS の多層防御

DDoS (Distributed Denial of Service) 攻撃は、大量のトラフィックを送りつけてサービスを利用不能にする攻撃手法です。攻撃は L3/L4 (SYN フラッド、UDP リフレクション、DNS アンプリフィケーション) と L7 (HTTP フラッド、Slowloris) に大別されます。AWS Shield は DDoS 攻撃からの防御に特化したマネージドサービスで、Standard と Advanced の 2 つのティアを提供します。Shield Standard は全 AWS アカウントに無料で自動適用され、L3/L4 の一般的な DDoS 攻撃を自動検知・緩和します。AWS のグローバルネットワークは数 Tbps の帯域を持ち、大規模なボリューメトリック攻撃もエッジで吸収します。Shield Advanced は月額 3,000 USD (1 年コミットメント) の有料サービスで、L7 攻撃への高度な防御、リアルタイムの攻撃可視化、24/7 の Shield Response Team (SRT) によるインシデント対応支援を提供します。Azure DDoS Protection Standard は月額約 2,944 USD に加えて 100 リソースを超えると従量課金が発生しますが、Shield Advanced は定額制でリソース数に依存しません。

この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。

Shield Standard の自動防御

Shield Standard は追加設定なしで全 AWS リソースに適用されます。CloudFront、Route 53、ALB、NLB、Elastic IP (EC2) に対する L3/L4 攻撃を常時モニタリングし、異常なトラフィックパターンを検知すると自動的に緩和措置を実行します。CloudFront と Route 53 は AWS のグローバルエッジネットワーク (400 以上の PoP) 上で動作するため、攻撃トラフィックがオリジンサーバーに到達する前にエッジで処理されます。これにより、オリジンのインフラに負荷をかけずに大規模な攻撃を吸収できます。Shield Standard の防御は完全に透過的で、正常なトラフィックへの影響はありません。SYN フラッド攻撃に対しては SYN プロキシ、UDP リフレクション攻撃に対してはトラフィックスクラビングが自動的に適用されます。Shield Standard だけでも、インターネットで観測される DDoS 攻撃の大部分を防御できます。

Shield Advanced の高度な防御機能

Shield Advanced は Shield Standard の防御に加え、以下の機能を提供します。L7 (アプリケーション層) の DDoS 検知と緩和では、HTTP フラッドや API への大量リクエストなど、正常なリクエストに偽装した攻撃を検知します。WAF との統合により、攻撃パターンに応じたレートベースルールやカスタムルールを自動的に適用できます。SRT (Shield Response Team) は AWS のセキュリティエキスパートチームで、攻撃発生時に 24/7 で対応を支援します。SRT はユーザーの WAF ルールを直接操作して攻撃を緩和する権限を持ち、緊急時の対応速度を大幅に向上させます。攻撃の可視化では、CloudWatch メトリクスとダッシュボードでリアルタイムの攻撃状況 (攻撃ベクトル、トラフィック量、緩和状況) を確認できます。コスト保護は Shield Advanced の重要な機能で、DDoS 攻撃に起因する AWS リソースのスケーリングコスト (EC2 Auto Scaling、CloudFront データ転送、Route 53 クエリ、ALB) の払い戻しを受けられます。攻撃によるコスト急増のリスクを軽減します。

WAF との組み合わせとベストプラクティス

Shield Advanced と WAF を組み合わせることで、L3 〜 L7 の全レイヤーをカバーする多層防御を実現します。Shield Advanced のサブスクリプションには、保護対象リソースに関連付ける WAF の利用料金が含まれます (追加の WAF 料金が不要)。レートベースルールで特定の IP からのリクエスト数を制限し、ジオマッチルールで特定の国からのアクセスをブロックできます。Shield Advanced の自動 L7 緩和機能を有効にすると、攻撃検知時に WAF ルールが自動的に作成・適用されます。ベストプラクティスとして、CloudFront を全トラフィックの入口として配置し、オリジンへの直接アクセスをセキュリティグループで遮断することを推奨します。Route 53 のヘルスチェックと Shield Advanced を組み合わせれば、攻撃検知の精度が向上します。Shield Advanced は Organizations 統合により、管理アカウントで 1 つのサブスクリプションを契約すれば組織内の全アカウントに適用できます。

さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。

まとめ - Shield の活用指針

AWS Shield は DDoS 攻撃からの防御を自動化するサービスです。Shield Standard は無料で全アカウントに適用され、L3/L4 攻撃の大部分を自動緩和します。ミッションクリティカルなワークロードには Shield Advanced を検討してください。月額 3,000 USD の投資で、L7 防御、SRT サポート、コスト保護、攻撃の可視化が得られます。CloudFront をエッジ防御の最前線に配置し、WAF と Shield Advanced を組み合わせた多層防御が、AWS における DDoS 対策のベストプラクティスです。