c3.18 DDoS 攻撃を緩和する
AWS Shield Standard は無料で全アカウントで有効になっており、一般的なレイヤー 3/4 のボリューム型攻撃から保護します。より価値の高いワークロードには、Shield Advanced がレイヤー 7 保護、24 時間 365 日の対応チーム、コスト保護、AWS WAF と Firewall Manager の無制限利用を追加します。
実装ガイダンス
Shield Standard は常時有効
AWS Shield Standard は全アカウントで無料で有効になっており、SYN フラッドや UDP リフレクションなど、一般的なネットワーク・トランスポート層（レイヤー 3/4）のボリューム型攻撃を防ぎます。
Shield Advanced を追加すべきとき
価値が高くインターネットに公開されたワークロードには、AWS Shield Advanced の有効化が有効です。次を追加します。
- HTTP フラッド、DNS クエリフラッド、TLS 悪用に対するレイヤー 7（およびレイヤー 6）保護。
- 攻撃トラフィックの分析・フィルタリングを支援し、アーキテクチャのレジリエンスをレビューする 24 時間 365 日の Shield Response Team。
- DDoS 攻撃によるスケーリング料金を払い戻すコスト保護。
- CloudWatch のメトリクスとグローバルな DDoS 脅威ダッシュボード。
- AWS WAF と AWS Firewall Manager の無制限利用（条件あり）。
保護対象リソース（ALB、CloudFront、API Gateway など）を登録します。AWS Firewall Manager を使えば、追加費用なしで大規模に行えます。
サードパーティの代替
レイヤー 7 の DDoS 緩和には、自己ホストのアプライアンスよりエラスティックなサービスを優先します（攻撃量がオートスケーリングを圧倒しうるため）。サードパーティ CDN（CloudFront の代替、Cloudflare、Akamai）を使う場合は、DDoS 緩和が含まれることを確認し、ドメインをそこに向けることでそのプロバイダーがトラフィック経路上の依存関係になる点に注意します。
How to validate
- 価値が高くインターネットに公開されたワークロードで Shield Advanced を有効にしていますか？
- 関連するすべてのリソース（ALB、CloudFront、API Gateway）が保護対象として登録されていますか（たとえば Firewall Manager 経由）？
- ヘルスチェックとアプリケーション層の自動緩和を構成しましたか？
- サードパーティサービスを使う場合、DDoS 緩和が実際に含まれ、一貫して適用されていますか？
Threats addressed
- 分散型サービス拒否攻撃は、インターネット公開アプリケーションをオフラインにし、強制的なスケーリングによりコストを押し上げます。特にレイヤー 7 の攻撃はネットワーク層の防御をすり抜けることがあります。
AWS サービス
AWS Shield 
AWS WAF 
AWS Firewall Manager 料金
AWS Shield の料金を参照してください。