用 AWS Shield 防御 DDoS 攻击 - Standard 与 Advanced 的选择
整理 Standard 的免费 L3/L4 防御与 Advanced 的 L7 应对/SRT 支持的区别。介绍成本保护和主动参与的活用。
Shield 概述
Shield 是保护应用免受 DDoS 攻击的托管防御服务。Shield Standard 对所有 AWS 账户免费自动应用，自动缓解 SYN Flood、UDP 反射、DNS 查询 Flood 等 L3/L4 攻击。Shield Advanced 月费 3,000 USD 提供 L7 攻击应对和额外功能。Standard 在 AWS 全球网络边缘运行，用户无需任何配置，经由 CloudFront 和 Route 53 的流量自动受到保护。
Advanced 的功能
Shield Advanced 将 CloudFront、ALB、Route 53、Global Accelerator、Elastic IP 注册为保护对象，检测和缓解 L7 的 HTTP Flood 攻击。SRT (Shield Response Team) 24/7 支持 DDoS 攻击的分析和缓解，代行 WAF 规则创建。成本保护是 AWS 补偿因 DDoS 攻击导致的 CloudFront、ALB、Route 53、EC2 扩展成本增加的功能，防止攻击带来的意外成本增加。保护组功能可将相关资源分组，基于组整体流量模式进行异常检测，比单独监控各资源实现更精确的检测。
Shield Advanced 的运维
Shield Advanced 的主动参与启用后，DDoS 攻击检测时 SRT (Shield Response Team) 自动开始应对。将 Route 53 健康检查关联到 Shield Advanced 的保护资源，基于应用健康状态提高检测精度。Shield Advanced 的成本保护补偿因 DDoS 攻击导致的扩展成本 (EC2 Auto Scaling、CloudFront 数据传输) 增加部分。攻击可视化仪表板可实时确认攻击类型、规模、持续时间、缓解状况。 要从基础到应用系统学习 Shield，可参考相关书籍 (Amazon)。
导入判断基准与 WAF 组合
Shield Advanced 月费 3,000 USD 对小规模环境来说费用较高，但符合以下任一条件即可获得投资回报：DDoS 导致的宕机直接造成业务损失（电商收入损失、SaaS SLA 违约），攻击时的扩展成本（ALB、CloudFront、EC2）可能超过月 3,000 USD，或与自建 24/7 DDoS 专业应对团队的成本相比更具性价比。关于与 WAF 的关系，启用 Shield Advanced 后受保护资源关联的 WAF 使用费免除这一点很重要。L7 DDoS 对策需要 WAF 的速率限制规则，推荐 Shield Advanced 与 WAF 组合覆盖 L3 到 L7 全层。仅靠 WAF 应对 L7 攻击时，无法获得 SRT 紧急支援和成本保护，攻击规模扩大时自行应对存在局限。
设计最佳实践与常见陷阱
要最大化 Shield Advanced 的防护效果，需要在架构设计阶段就纳入 DDoS 韧性。基本设计是将 CloudFront 置于所有流量前端，在边缘吸收 L3/L4 攻击，不让其到达源服务器。直接将 ALB 暴露在互联网的架构中，即使启用 Shield Advanced，ALB 扩展延迟期间请求也可能被丢弃。Route 53 健康检查关联容易被忽略，但没有它主动参与就不会触发。健康检查需要监控应用的实际可用性（HTTP 200 响应），仅 TCP 端口检查在攻击中可能仍判定为健康导致 SRT 不介入。常见陷阱是将 Elastic IP 注册为保护对象，但其背后的 EC2 实例缺乏足够的扩展配置。Shield 检测并通知攻击，但如果应用侧韧性不足，缓解可能跟不上导致服务中断。
Shield 的费用
Shield Standard 对所有 AWS 账户免费自动启用。Shield Advanced 月额 3,000 美元固定费用加保护资源的数据传输量额外计费。需要 1 年承诺。在 Organizations 中启用 Shield Advanced 时，月额 3,000 美元仅对组织整体收取一次，成员账户的额外费用仅为保护资源的数据传输量。Shield Advanced 的导入判断通过比较 DDoS 攻击风险和成本保护的价值来进行。由于 WAF 使用费免除，已在多个资源上使用 WAF 的环境实际成本将大幅降低。
总结
Shield 通过 Standard 免费自动缓解 L3/L4 DDoS 攻击，Advanced 提供 L7 攻击应对和 SRT 支持。Advanced 的主动参与在攻击检测时 SRT 自动开始应对，成本保护补偿 DDoS 攻击导致的扩展成本增加部分。Organizations 中月额 3,000 美元可在组织整体共享，请结合 WAF 使用费免除权益一并评估费用效益。