あるECサイト運営企業は、AWS Shield Advancedを契約し、Route 53・CloudFront・Application Load Balancerを使用した三層アーキテクチャを運用しています。過去にDD

Question

あるECサイト運営企業は、AWS Shield Advancedを契約し、Route 53・CloudFront・Application Load Balancerを使用した三層アーキテクチャを運用しています。過去にDDoS攻撃によってRoute 53のDNS応答が遅延してサービスが中断し、さらに大量トラフィックによるAWSリソースのスケールアウトコストが急増しました。Shield Advancedを最大限活用して、DDoS攻撃時のAWS SRT（Shield Response Team：シールド対応チーム）による迅速な対応と、攻撃起因コストの保護を実現するために設定すべき項目はどれですか？（2つ選択）

Accepted Answer

正解: Route 53ヘルスチェックを保護対象リソースに関連付け、Shield Advancedのプロアクティブエンゲージメント（Proactive Engagement）を有効化して、ヘルスチェック障害検出時にSRTが自動介入できるようにする / Shield AdvancedのDDoSコスト保護（DDoS Cost Protection）を活用し、DDoS攻撃に起因するEC2・CloudFront・Route 53等のリソーススケールアウトコストに対してクレジットをリクエストする。Shield Advancedのプロアクティブエンゲージメントは、Route 53ヘルスチェックと連携して動作します。DDoS攻撃によってヘルスチェックが障害を検出した際、SRTが自動的に連絡・介入して緩和措置を実施します。DDoSコスト保護は攻撃起因のスケールアウトコストに対してクレジットを申請できる機能で、Route 53・CloudFront・ELB・EC2等が対象です。この2つがSRT対応とコスト保護という要件に直接対応します。

選択肢BのAWS WAFレートベースルールはL7 DDoS対策として有効ですが、「SRTによる迅速対応」や「攻撃起因コストの保護」という設問の要件には直接対応しません。Shield Advancedとの組み合わせで推奨されますが、本問の2つの目的を満たす設定ではありません。

選択肢DのFirewall ManagerとShield Advancedの統合は組織全体への保護展開に有用ですが、SRTのプロアクティブ介入やコスト保護を実現する設定ではなく、本問の要件とは目的が異なります。

選択肢EのEventBridgeとLambdaによる通知フローはDDoS攻撃の検出を可視化できますが、SRTが自動的に介入するプロアクティブエンゲージメント機能とは異なります。また攻撃起因コストの保護も実現しません。

Answer

AWS WAFのレートベースルールをALBおよびCloudFrontにアタッチし、1秒あたりのリクエスト数を閾値以下に制限することでL7 DDoS攻撃を自動遮断する — AWS WAFレートベースルールはL7 DDoS対策として有効ですが、「SRTによる迅速対応」や「攻撃起因コストの保護」という設問の要件には直接対応しません。Shield Advancedとの組み合わせで推奨されますが、本問の2つの目的を満たす設定ではありません。

Answer

AWS Firewall Managerと組み合わせてShield Advancedポリシーを組織全体に展開し、新規アカウントのリソースにも自動的に保護を適用する — Firewall ManagerとShield Advancedの統合は組織全体への保護展開に有用ですが、SRTのプロアクティブ介入やコスト保護を実現する設定ではなく、本問の要件とは目的が異なります。

Answer

Shield AdvancedのDDoS検出イベントをAmazon EventBridgeでキャプチャし、AWS Lambda関数を経由してSRTへ緊急通知を送信する自動エスカレーションフローを構築する — EventBridgeとLambdaによる通知フローはDDoS検出の可視化に活用できますが、SRTが自動的にプロアクティブ介入するプロアクティブエンゲージメントとは異なります。攻撃起因コストの保護も実現しません。

解説

解説