ある大手 EC サイトは Route 53・CloudFront・Application Load Balancer・EC2 Auto Scaling グループで構成されるグローバルな本番環境を運用しています。過去に以下

Question

ある大手 EC サイトは Route 53・CloudFront・Application Load Balancer・EC2 Auto Scaling グループで構成されるグローバルな本番環境を運用しています。過去に以下の DDoS 攻撃を受けました。
- HTTP フラッド攻撃（毎秒 50 万リクエスト超）
- DNS クエリフラッド
- TCP SYN フラッド（ボリューメトリック攻撃）

セキュリティチームは次の 3 要件を同時に満たすソリューションを求めています。
- レイヤー 7（アプリケーション層）攻撃の自動軽減
- AWS DDoS レスポンスチーム（SRT）による攻撃中のプロアクティブなエンゲージメント
- DDoS 攻撃起因のスケーリングコストに対するコスト保護

最も適切な構成はどれですか？

Accepted Answer

正解: AWS Shield Advanced をサブスクライブして Route 53・CloudFront・ALB をプロテクションに追加し、プロアクティブエンゲージメントを有効化して Route 53 ヘルスチェックと関連付け、CloudFront と ALB に AWS WAF ウェブ ACL を関連付けて L7 自動軽減を有効にする。Shield Advanced は 3 要件をすべて充足します。WAF 統合によるアプリケーション層の自動 DDoS 軽減、Route 53 ヘルスチェックと連動したプロアクティブエンゲージメントで SRT が能動的に支援、DDoS 攻撃起因のスケーリングコストを補填するコスト保護の 3 点を一括で提供します。

選択肢BのAWS Shield Standardは L3/L4 自動保護のみで、SRT プロアクティブエンゲージメントとコスト保護は提供されません。

選択肢CのAWS Shield Advanced（L3/L4のみ設定）は WAF 統合による L7 自動軽減を活用しておらず、Lambda@Edge の独自実装では SRT のインテリジェンスを利用できません。

選択肢DのAmazon CloudFrontの地理的制限と DNS フェイルオーバーは DDoS の根本的軽減策にならず、自動軽減・コスト保護のいずれの要件も満たしません。

Answer

AWS Shield Standard を使用して AWS WAF をスタンドアロンで CloudFront と ALB に設定し、DDoS 攻撃発生時は AWS サポートへ手動でエスカレーションして対応する — AWS Shield Standardは L3/L4 自動保護のみで、SRT プロアクティブエンゲージメントとコスト保護は提供されません。

Answer

AWS Shield Advanced をサブスクライブして L3/L4 ネットワーク層の保護のみを設定し、L7 攻撃の軽減は Lambda@Edge にカスタムレート制限ロジックを実装して対応する — AWS Shield Advanced（L3/L4のみ設定）は WAF 統合による L7 自動軽減を活用しておらず、Lambda@Edge の独自実装では SRT のインテリジェンスを利用できません。

Answer

Amazon CloudFront の地理的制限で攻撃元の国からのトラフィックをブロックし、Route 53 ヘルスチェックの異常検知時にフェイルオーバーレコードへ自動切り替えする — Amazon CloudFrontの地理的制限と DNS フェイルオーバーは DDoS の根本的軽減策にならず、自動軽減・コスト保護のいずれの要件も満たしません。

解説

解説