c3.18 Mitigar ataques DDoS
O AWS Shield Standard é gratuito e ativo em toda conta, protegendo contra ataques volumétricos comuns de camada 3/4. Para cargas de maior valor, o Shield Advanced adiciona proteção de camada 7, uma equipe de resposta 24x7, proteção de custos e uso ilimitado do AWS WAF e do Firewall Manager.
Guia de implementação
Shield Standard sempre ativo
O AWS Shield Standard está habilitado em toda conta sem custo e defende contra ataques volumétricos comuns de camada de rede e transporte (camada 3/4) como SYN floods e reflexão UDP.
Quando adicionar o Shield Advanced
Vale a pena habilitar o AWS Shield Advanced para cargas de maior valor expostas à internet. Ele adiciona:
- Proteção de camada 7 (e camada 6) contra HTTP floods, DNS query floods e abuso de TLS.
- Uma Shield Response Team 24x7 que ajuda a analisar e filtrar o tráfego de ataque e revisa a resiliência da sua arquitetura.
- Proteção de custos que reembolsa as cobranças de escalonamento causadas por um ataque DDoS.
- Métricas do CloudWatch e um painel global de ameaças DDoS.
- Uso ilimitado do AWS WAF e do AWS Firewall Manager (condições se aplicam).
Registre seus recursos protegidos (ALBs, CloudFront, API Gateway, etc.); você pode fazer isso em escala, sem custo adicional, com o AWS Firewall Manager.
Alternativas de terceiros
Para mitigação de DDoS de camada 7, prefira um serviço elástico a appliances auto-hospedados (o volume do ataque pode sobrecarregar o autoscaling). Se usar um CDN de terceiros (alternativa ao CloudFront, Cloudflare, Akamai), confirme que a mitigação de DDoS está incluída, e note que apontar seus domínios para lá torna esse provedor uma dependência no caminho do tráfego.
Como validar
- O Shield Advanced está habilitado para suas cargas de maior valor expostas à internet?
- Todos os recursos relevantes (ALB, CloudFront, API Gateway) estão registrados como protegidos (por exemplo via Firewall Manager)?
- Você configurou health checks e mitigação automática de camada de aplicação?
- Se usa um serviço de terceiros, a mitigação de DDoS está realmente incluída e aplicada de forma consistente?
Ameaças atendidas
- Um ataque de negação de serviço distribuído pode deixar uma aplicação exposta à internet offline e disparar o custo pelo escalonamento forçado; os ataques de camada 7 em particular podem passar pelas defesas de camada de rede.
Serviços AWS
AWS Shield 
AWS WAF 
AWS Firewall Manager Preços
Veja os preços do AWS Shield.