c3.18 Mitigar ataques DDoS
AWS Shield Standard es gratuito y está activo en toda cuenta, protegiendo contra ataques volumétricos comunes de capa 3/4. Para cargas de mayor valor, Shield Advanced agrega protección de capa 7, un equipo de respuesta 24x7, protección de costos y uso ilimitado de AWS WAF y Firewall Manager.
Guía de implementación
Shield Standard siempre activo
AWS Shield Standard está habilitado en toda cuenta sin costo y defiende contra ataques volumétricos comunes de capa de red y transporte (capa 3/4) como SYN floods y reflexión UDP.
Cuándo agregar Shield Advanced
Vale la pena habilitar AWS Shield Advanced para cargas de mayor valor expuestas a internet. Agrega:
- Protección de capa 7 (y capa 6) contra HTTP floods, DNS query floods y abuso de TLS.
- Un Shield Response Team 24x7 que ayuda a analizar y filtrar el tráfico de ataque y revisa la resiliencia de su arquitectura.
- Protección de costos que reembolsa los cargos de escalado causados por un ataque DDoS.
- Métricas de CloudWatch y un tablero global de amenazas DDoS.
- Uso ilimitado de AWS WAF y AWS Firewall Manager (aplican condiciones).
Registre sus recursos protegidos (ALBs, CloudFront, API Gateway, etc.); puede hacerlo a escala, sin costo adicional, con AWS Firewall Manager.
Alternativas de terceros
Para mitigación de DDoS de capa 7, prefiera un servicio elástico sobre appliances autoalojados (el volumen del ataque puede superar el autoscaling). Si usa un CDN de terceros (alternativa a CloudFront, Cloudflare, Akamai), confirme que la mitigación de DDoS está incluida, y note que apuntar sus dominios allí convierte a ese proveedor en una dependencia en el camino del tráfico.
Cómo validar
- ¿Está Shield Advanced habilitado para sus cargas de mayor valor expuestas a internet?
- ¿Todos los recursos relevantes (ALB, CloudFront, API Gateway) están registrados como protegidos (por ejemplo vía Firewall Manager)?
- ¿Ha configurado health checks y mitigación automática de capa de aplicación?
- Si usa un servicio de terceros, ¿la mitigación de DDoS está realmente incluida y aplicada de forma consistente?
Amenazas que atiende
- Un ataque de denegación de servicio distribuido puede dejar fuera de línea una aplicación expuesta a internet y disparar el costo por el escalado forzado; los ataques de capa 7 en particular pueden pasar las defensas de capa de red.
Servicios AWS
AWS Shield 
AWS WAF 
AWS Firewall Manager