ある大規模な EC サイト（電子商取引サイト）は、Route 53・CloudFront・Application Load Balancer（ALB）を組み合わせてグローバルサービスを提供しており、AWS Shield

Question

ある大規模な EC サイト（電子商取引サイト）は、Route 53・CloudFront・Application Load Balancer（ALB）を組み合わせてグローバルサービスを提供しており、AWS Shield Advanced を契約しています。セール期間中にアプリケーション層（Layer 7）DDoS 攻撃が発生した際、Shield Advanced の自動緩和が開始されるまでに数分かかり、その間にサービス断が発生しています。攻撃検出から自動緩和開始までのレイテンシを最小化するために最も効果的な設定変更はどれですか？

Accepted Answer

正解: Route 53 ヘルスチェックを Shield Advanced の保護リソースに関連付けてヘルスベース検出（Health-based detection）を有効化し、アプリケーションの可用性低下をリアルタイムの緩和トリガーとして機能させる。Shield Advanced のヘルスベース検出（Health-based detection）では、Route 53 ヘルスチェックを保護リソースに関連付けることで、アプリケーションの実際の可用性低下（ヘルスチェック失敗）を即座に緩和トリガーとして利用できます。統計的な異常検出のみに依存する従来の動作と比較して、自動緩和の開始を大幅に高速化できます。ヘルスチェックが失敗状態になった瞬間に Shield Advanced が緩和を開始するため、人手を介さずに検出レイテンシを最小化できます。

選択肢A の WAF レート制限は Layer 7 防御として有効ですが、Shield Advanced の内部的な自動緩和検出レイテンシを短縮する直接的な手段ではありません。

選択肢C のプロアクティブエンゲージメントは SRT が能動的に顧客に連絡して対応を開始する機能であり、Shield Advanced の自動緩和速度そのものを向上させるものではありません。

選択肢D の Origin Shield は CloudFront のキャッシュ集約レイヤーを追加してオリジンへの負荷を軽減する機能であり、DDoS 攻撃の検出・緩和速度の改善とは直接関係ありません。

Answer

AWS WAF のレート制限ルール（Rate-based rule）を CloudFront と ALB の両方に適用し、リクエスト数の閾値を現在の設定より大幅に引き下げる — AWS WAF のレート制限は Layer 7 防御として有効ですが、Shield Advanced の自動緩和検出レイテンシを直接短縮する手段ではありません。

Answer

Shield Advanced のプロアクティブエンゲージメント（Proactive engagement）を有効化して、Shield Response Team（SRT：AWS の DDoS 攻撃対応専門チーム）が自動的に緩和対応を開始できるようにする — Shield Advanced のプロアクティブエンゲージメントはSRTが顧客に連絡して対応する機能であり、自動緩和速度そのものを向上させません。

Answer

CloudFront にオリジンシールド（Origin Shield）を有効化してオリジンサーバーへのリクエスト数を削減し、DDoS 攻撃時のオリジン負荷を軽減する — CloudFront Origin Shield はキャッシュ集約でオリジン負荷を軽減する機能であり、DDoS 攻撃の検出・緩和速度の改善とは直接関係ありません。

解説

解説