AWS Shield で DDoS 攻撃から防御 - Standard と Advanced の使い分け
Standard の無料 L3/L4 防御と Advanced の L7 対応・SRT サポートの違いを整理する。コスト保護とプロアクティブエンゲージメントの活用を紹介します。
Shield の概要
Shield は DDoS 攻撃からアプリケーションを保護するマネージド防御サービスです。Shield Standard は全 AWS アカウントに無料で自動適用され、SYN フラッド、UDP リフレクション、DNS クエリフラッドなどの L3/L4 攻撃を自動緩和します。Shield Advanced は月額 3,000 USD で L7 攻撃への対応と追加機能を提供します。
Advanced の機能
Shield Advanced は CloudFront、ALB、Route 53、Global Accelerator、Elastic IP を保護対象として登録し、L7 の HTTP フラッド攻撃を検出・緩和します。SRT (Shield Response Team) は 24/7 で DDoS 攻撃の分析と緩和を支援し、WAF ルールの作成を代行します。コスト保護は DDoS 攻撃によるトラフィック増加で発生した CloudFront、ALB、Route 53、EC2 のスケーリングコストを AWS が補填する機能で、攻撃による予期しないコスト増加を防止します。
Shield Advanced の運用
Shield Advanced のプロアクティブエンゲージメントを有効にすると、 DDoS 攻撃の検出時に SRT (Shield Response Team) が自動的に対応を開始します。 Route 53 ヘルスチェックを Shield Advanced の保護リソースに関連付けると、アプリケーションの健全性に基づいた検出精度が向上します。 Shield Advanced のコスト保護で、 DDoS 攻撃によるスケーリングコスト (EC2 Auto Scaling 、 CloudFront のデータ転送) の増加分を AWS が補填します。攻撃の可視化ダッシュボードで、攻撃のタイプ、規模、期間、緩和状況をリアルタイムに確認できます。 Shield の基礎から応用まで、書籍 (Amazon)で体系的に学べます。
Shield の料金
Shield Standard は全 AWS アカウントで無料で自動有効化されます。Shield Advanced は月額 3,000 ドルの固定料金に加え、保護リソースのデータ転送量で追加課金されます。1 年間のコミットメントが必要です。Organizations で Shield Advanced を有効化すると、月額 3,000 ドルは組織全体で 1 回のみの課金で、メンバーアカウントの追加料金は保護リソースのデータ転送量のみです。Shield Advanced の導入判断は、DDoS 攻撃のリスクとコスト保護の価値を比較して行います。
まとめ
Shield は L3/L4 の DDoS 攻撃を Standard で無料自動緩和し、Advanced で L7 攻撃への対応と SRT サポートを提供するサービスです。Advanced のプロアクティブエンゲージメントで攻撃検出時に SRT が自動対応を開始し、コスト保護で DDoS 攻撃によるスケーリングコストの増加分を補填します。Organizations で月額 3,000 ドルを組織全体で共有できます。