ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
あるグローバル EC サイトは、CloudFront と ALB で構成されたアーキテクチャに対して繰り返し DDoS 攻撃を受けており、過去には攻撃によるオートスケーリングコストが大幅に増加した経験があります。セキュリティチームは以下をすべて満たす DDoS 対策の導入を求めています。
要件：
①アプリケーション層（L7）DDoS 攻撃の自動緩和
②DDoS 起因のスケーリングコスト増加分の払い戻し保証
③AWS DDoS レスポンスチーム（DRT）への 24 時間アクセスとプロアクティブエンゲージメント
これらの要件をすべて満たすソリューションはどれですか？
AAWS WAF をすべての CloudFront ディストリビューションと ALB に適用し、レートベースルールと AWS マネージドルールグループ（AWSManagedRulesCommonRuleSet）を設定する
AWS WAFはL7フィルタリングやレートベースルールによる攻撃緩和を提供しますが、DDoS Response Team（DRT）への24時間アクセス機能も、DDoS起因のスケーリングコスト払い戻し保証も含まれません。3要件のうち①の一部のみ対応します。
BAWS Shield Advanced をサブスクライブし、CloudFront と ALB を保護対象リソースとして登録した上で、AWS WAF と関連付けてアプリケーション層 DDoS 自動緩和を有効化し、プロアクティブエンゲージメントを設定する
✓ 正解
AWS Shield AdvancedはWAFとの統合によるL7 DDoS自動緩和、DDoS起因のスケーリングコスト払い戻し保証（DDoSコスト保護）、24時間DRTアクセスとプロアクティブエンゲージメントをすべて提供し、問題の3要件をすべて満たします。
CAWS Shield Standard（全 AWS アカウントでデフォルト有効）を活用し、CloudWatch アラームで異常トラフィックを検出したら EventBridge と Lambda で WAF ルールを動的に更新する
AWS Shield Standardはすべての顧客に無償で提供されるL3/L4基本DDoS防御サービスです。L7攻撃の自動緩和・DDoSコスト保護・DRTアクセスはいずれも含まれず、LambdaによるWAFルール動的更新を追加しても3要件を満たしません。
DAmazon CloudFront のディストリビューション設定で地理的制限（Geo Restriction）を有効化し、攻撃元として特定された国からのリクエストをブロックする
CloudFrontの地理的制限は特定国からのアクセスを遮断できますが、多国籍・分散型のDDoS攻撃には効果がありません。L7自動緩和・DDoSコスト保護・DRTアクセスの要件をいずれも満たしません。
解説
AWS Shield Advanced は L3/L4 の標準 DDoS 保護に加え、3 つの要件をすべて満たす高度な保護を提供します。
①アプリケーション層（L7）DDoS 自動緩和：Shield Advanced を AWS WAF と関連付けることで、HTTP フラッド等の L7 攻撃パターンを自動検出し、WAF ルールを動的に生成・適用して緩和します。
②DDoS コスト保護：DDoS 攻撃が原因で発生した EC2・CloudFront・ELB・Route 53 等のスケーリングコスト増加分について、AWS がサービスクレジットとして払い戻す「DDoS コスト保護」が保証されます。
③DRT アクセスとプロアクティブエンゲージメント：24 時間 365 日の DDoS Response Team（DRT）へのアクセス権と、攻撃検出時に DRT が自動エスカレーションするプロアクティブエンゲージメント機能が利用できます。
選択肢AのAWS WAF は L7 フィルタリングを提供しますが、DRT アクセス機能も DDoS コスト保護保証もなく、3 要件のうち①の一部のみ対応します。
選択肢CのAWS Shield Standard は L3/L4 の基本的な DDoS 防御を提供しますが、L7 自動緩和・コスト保護・DRT アクセスはいずれも含まれない無償サービスです。
選択肢DのCloudFront 地理的制限は特定国からのアクセス遮断に有用ですが、攻撃元が多国籍・分散型の場合は無効であり、自動 L7 緩和・コスト保護・DRT エスカレーションの要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →