DDoS 防护 - 通过 AWS Shield 实现多层防御的设计与运维
解说通过 AWS Shield Standard 和 Shield Advanced 实现的 DDoS 防御。实践性地介绍与 CloudFront、Route 53、ALB 的集成、与 WAF 的组合以及成本保护功能。
DDoS 攻击的威胁与 AWS 的多层防御
DDoS（Distributed Denial of Service）攻击是通过发送大量流量使服务不可用的攻击手法。攻击分为 L3/L4（SYN Flood、UDP 反射、DNS 放大）和 L7（HTTP Flood、Slowloris）两类，需要不同的防御策略。AWS 通过 Shield、WAF、CloudFront、Route 53 的组合提供多层防御架构。Shield Standard 自动防御 L3/L4 攻击，WAF 处理 L7 攻击，CloudFront 的全球边缘网络吸收大规模流量。
Shield Standard 的自动防御
Shield Standard 无需额外设置即可应用于所有 AWS 资源。对 CloudFront、Route 53、ALB、NLB、Elastic IP（EC2）的 L3/L4 攻击进行持续监控，检测到异常流量模式时自动执行缓解措施。CloudFront 和 Route 53 由于在 AWS 边缘网络运行，可在攻击流量到达区域之前进行过滤。Shield Standard 对所有 AWS 账户免费提供，无需单独启用。
Shield Advanced 的高级防御功能
Shield Advanced 在 Shield Standard 的防御基础上提供以下功能。L7（应用层）DDoS 检测和缓解可检测伪装成正常请求的攻击，如 HTTP Flood 和对 API 的大量请求。通过与 WAF 的集成，可自动应用攻击模式的阻止规则。Shield Response Team（SRT）是 AWS 的 DDoS 专家团队，在攻击期间提供 24/7 支持。成本保护功能在 DDoS 攻击导致的扩展费用增加时提供信用退还。攻击可视化仪表板实时显示攻击向量、流量和缓解状态。
与 WAF 的组合及最佳实践
通过组合 Shield Advanced 和 WAF，可实现覆盖 L3 到 L7 全层的多层防御。Shield Advanced 的订阅包含与保护资源关联的 WAF 使用费（无需额外 WAF 费用）。通过速率限制规则限制来自单一 IP 的请求数，通过地理限制阻止来自非预期国家的访问。Shield Advanced 的自动应用层 DDoS 缓解功能在检测到攻击时自动创建 WAF 规则。最佳实践是将 CloudFront 作为所有 Web 应用的前端，在边缘吸收攻击流量。
Shield 的费用
Shield Standard 对所有 AWS 账户免费自动启用。Shield Advanced 除月费 3,000 美元的固定费用外，还按保护资源的数据传输量额外计费（截至 2026 年 8 月）。需要 1 年承诺。通过 Organizations 启用时，月费 3,000 美元在组织内共享，各账户无需单独支付。成本保护功能在 DDoS 攻击导致的扩展费用增加时提供信用退还。
总结 - Shield 的活用指南
AWS Shield 是自动化 DDoS 攻击防御的服务。Shield Standard 免费应用于所有账户，自动缓解大部分 L3/L4 攻击。对于关键任务工作负载，请考虑 Shield Advanced。月费 3,000 美元包含 SRT 支持、成本保护、L7 自动缓解和攻击可视化，对于需要高可用性的服务是合理的投资。