AWS Shield で DDoS 攻撃から防御 - Standard と Advanced の使い分け
Standard の無料 L3/L4 防御と Advanced の L7 対応・SRT サポートの違いを整理する。コスト保護とプロアクティブエンゲージメントの活用を紹介します。
Shield の概要
Shield は DDoS 攻撃からアプリケーションを保護するマネージド防御サービスです。Shield Standard は全 AWS アカウントに無料で自動適用され、SYN フラッド、UDP リフレクション、DNS クエリフラッドなどの L3/L4 攻撃を自動緩和します。Shield Advanced は月額 3,000 USD で L7 攻撃への対応と追加機能を提供します (2026 年 8 月時点)。Standard は AWS のグローバルネットワークエッジで動作するため、ユーザー側で設定する必要は一切なく、CloudFront や Route 53 を経由するトラフィックには自動的に適用されます。
Advanced の機能
Shield Advanced は CloudFront、ALB、Route 53、Global Accelerator、Elastic IP を保護対象として登録し、L7 の HTTP フラッド攻撃を検出・緩和します。SRT (Shield Response Team) は 24/7 で DDoS 攻撃の分析と緩和を支援し、WAF ルールの作成を代行します。ただし SRT に連絡するには、Shield Advanced のサブスクリプションに加えて AWS Premium Support の Business プランまたは Enterprise プランへの加入が必要です (公式ドキュメント記載条件・2026 年 8 月時点)。コスト保護は DDoS 攻撃によるトラフィック増加で発生した ELB、CloudFront、Route 53、Global Accelerator、EC2 のスケーリングコストを AWS が補填する機能で、攻撃による予期しないコスト増加を防止します。なおコスト保護を含む Shield Advanced の特典は、1 年間のサブスクリプションコミットメントを履行することが条件です。保護グループ機能で関連リソースをグルーピングし、グループ全体のトラフィックパターンに基づいた異常検知を行うことで、個別リソース単位よりも精度の高い検出を実現します。
Shield Advanced の運用
Shield Advanced のプロアクティブエンゲージメントを有効にすると、DDoS 攻撃の検出時に SRT (Shield Response Team) が自動的に対応を開始します。Route 53 ヘルスチェックを Shield Advanced の保護リソースに関連付けると、アプリケーションの健全性に基づいた検出精度が向上します。Shield Advanced のコスト保護で、DDoS 攻撃によるスケーリングコスト (EC2 Auto Scaling、CloudFront のデータ転送) の増加分を AWS が補填します。攻撃の可視化ダッシュボードで、攻撃のタイプ、規模、期間、緩和状況をリアルタイムに確認できます。
導入判断の基準と WAF との組み合わせ
Shield Advanced の月額 3,000 USD は小規模な環境には高額ですが、以下の条件に 1 つでも該当すれば投資対効果を見込めます。DDoS 攻撃によるダウンタイムがビジネスに直接的な損害 (EC サイトの売上損失、SaaS の SLA 違反) をもたらす場合、攻撃時のスケーリングコスト (ALB、CloudFront、EC2) が月額 3,000 USD を超える可能性がある場合、または 24/7 の DDoS 専門対応チームを自前で維持するコストとの比較で割安な場合です。WAF との関係では、Shield Advanced のサブスクリプションが保護リソースに紐づく WAF の標準機能の料金を負担する点が重要です。免除されるのは保護パック (web ACL) の料金、ルールの料金、web リクエスト検査の 100 万リクエストあたり基本料金で、1,500 WCU まで・既定のボディ検査サイズまで・月 500 億リクエストまでという条件が付きます (公式ドキュメント記載条件・2026 年 8 月時点)。Bot Control、CAPTCHA アクション、1,500 WCU を超える web ACL、既定サイズを超えるボディ検査、マネージドルール (AWS Marketplace 経由を含む) の料金は免除対象外で、Shield Advanced で保護していないリソースの WAF 料金も対象外です。L7 DDoS 対策では、2026 年 3 月 26 日以降は Anti-DDoS マネージドルールグループ (Anti-DDoS AMR) を web ACL に組み込む構成が既定の解で、Shield Advanced のサブスクリプションにはこのルールグループへのアクセスが含まれます。公式ドキュメントは、検知から緩和までを数分単位でなく数秒単位で行うと説明しています。従来の自動アプリケーションレイヤー DDoS 緩和 (L7AM) は既存顧客向けの旧機構という位置づけに変わりました。こちらは既知の DDoS 送信元へのレート制限と、検出した攻撃に応じたカスタム WAF 保護の自動管理を行う機能で、有効化すると 150 WCU を消費する専用ルールグループが web ACL に追加されますが、新規の Shield Advanced 顧客が利用するには AWS サポートへの連絡が必要です。自前のレートベースルールはこれらを補完する位置づけであり、Shield Advanced と WAF を組み合わせて L3〜L7 の全レイヤーをカバーする設計が推奨されます。WAF のみで L7 攻撃に対応しようとすると、SRT の緊急支援やコスト保護が受けられないため、攻撃が大規模化した際に自力での対応に限界が生じます。
設計のベストプラクティスと落とし穴
Shield Advanced の保護効果を最大化するには、アーキテクチャ設計段階で DDoS 耐性を組み込む必要があります。CloudFront を全トラフィックのフロントに配置することで、L3/L4 攻撃をエッジで吸収し、オリジンサーバーに到達させない設計が基本です。ALB を直接インターネットに公開する構成では Shield Advanced を有効化しても、ALB のスケーリング遅延中にリクエストがドロップされる可能性があります。Route 53 ヘルスチェックの関連付けは見落とされがちですが、これがないとプロアクティブエンゲージメントが発動しません。ヘルスチェックはアプリケーションの実際の可用性 (HTTP 200 応答) を監視する設定が必要で、TCP ポートチェックのみでは攻撃中もヘルシーと判定されて SRT が介入しない場合があります。よくある落とし穴として、Elastic IP を直接保護対象に登録しながら、その背後の EC2 インスタンスに十分なスケーリング設定がないケースがあります。Shield は攻撃を検出・通知しますが、アプリケーション側の耐性が不十分だと緩和が間に合わずサービスが停止する可能性が残ります。
Shield の料金
Shield Standard は全 AWS アカウントで無料で自動有効化されます。Shield Advanced は月額 3,000 ドルの固定料金に加え、CloudFront、ELB、EC2、Global Accelerator からのデータ転送量に応じた従量料金が加算されます (2026 年 8 月時点・月額はリージョンによらない共通料金)。サブスクリプションは 1 年間のコミットメントで、以後は年次で自動更新され、更新日の少なくとも 30 日前に通知が届きます (更新のキャンセルは更新日の 30 日前から 5 日前までに申し出る必要があります)。Shield Advanced のサブスクリプションはアカウント単位で、保護したいアカウントを個別にサブスクライブしてから、そのアカウント内のリソースに保護を追加します。Organizations に対して有効化すれば組織全体へ一括適用されるという仕組みではありません。集約されるのは課金で、同じ一括請求ファミリー内で複数のアカウントをサブスクライブしても月額は 1 回のみ (追加のサブスクリプションは 0 ドル)、メンバーアカウントの追加料金は保護リソースのデータ転送量のみです。月額は payer アカウントに対して請求され、payer アカウント自身がサブスクライブしていなくても、リンクされたアカウントが 1 つでもサブスクライブしていれば請求対象になります (AWS Channel Reseller はメンバーアカウントごとに月額が発生する例外です)。新規アカウントやリソースへ保護を自動展開したい場合は Firewall Manager の Shield Advanced ポリシーを使います。このポリシーは Shield Advanced 利用者には追加料金なしで提供されます (ポリシーがリソース構成の変更監視のために作成する AWS Config ルールの料金は別途発生します)。Shield Advanced の導入判断は、DDoS 攻撃のリスクとコスト保護の価値を比較して行います。WAF の標準機能の料金が月 500 億リクエストまで免除される (Shield Advanced が DDoS と判定したリクエストはこの 500 億にカウントされません) ため、既に WAF を複数の保護リソースで活用している環境では実質コストを抑えられます。ただし Bot Control やマネージドルールのように免除対象外の機能を多用している場合、削減幅は想定より小さくなります。
まとめ
Shield は L3/L4 の DDoS 攻撃を Standard で無料自動緩和し、Advanced で L7 攻撃への対応と SRT サポートを提供するサービスです。Advanced のプロアクティブエンゲージメントで攻撃検出時に SRT が自動対応を開始し、コスト保護で DDoS 攻撃によるスケーリングコストの増加分を補填します。サブスクリプションはアカウント単位ですが、月額は一括請求ファミリーで 1 回のみの課金に集約されます。この課金の集約と、条件付きで免除される WAF の標準機能の料金を合わせて費用対効果を評価してください。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトおよび公式ドキュメントです。最新の仕様 / 料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。