グローバル展開する EC プラットフォームが Amazon CloudFront を使用してコンテンツを配信しています。過去に L3/L4 DDoS 攻撃と SQL インジェクション攻撃を受けた実績があり、「大容量 DD

Question

グローバル展開する EC プラットフォームが Amazon CloudFront を使用してコンテンツを配信しています。過去に L3/L4 DDoS 攻撃と SQL インジェクション攻撃を受けた実績があり、「大容量 DDoS への自動緩和」「アプリケーション層での SQL インジェクション防御」「大規模攻撃時に AWS セキュリティ専門チームへのエスカレーション」の 3 要件をすべて満たす構成を設計してください。

Accepted Answer

正解: AWS Shield Advanced を CloudFront に適用し、AWS WAF のマネージドルール（SQLi 対応）を紐付けて DRT へのエスカレーションを設定する。Shield Advanced は高度な DDoS 自動緩和と DRT（DDoS Response Team）への 24/7 エスカレーションを提供し、WAF マネージドルールとの組み合わせでアプリ層の SQLi 防御を追加できる。

Answer

AWS WAF のカスタムルールとレートベースルールで SQLi・大容量リクエストをブロックし、CloudFront のキャッシュで発生した帯域負荷を吸収する — AWS WAF のレートベースルールは大容量 DDoS の根本緩和には不十分で、AWS 専門チームへのエスカレーション機能を持たない。

Answer

AWS Shield Standard と AWS WAF マネージドルールを組み合わせ、Amazon GuardDuty によるネットワーク脅威監視でアラートを通知する構成にする — AWS Shield Standard は高度な DDoS 緩和と DRT エスカレーションを提供せず、GuardDuty はネットワーク侵入検知ツールで防御機能はない。

Answer

Amazon Inspector を CloudFront に統合して SQLi などの脆弱性を継続スキャンしつつ、Shield Standard の自動緩和で L3/L4 DDoS に対処する — Amazon Inspector はホスト・コンテナの脆弱性診断ツールで CloudFront への統合は存在せず、DDoS 緩和機能もない。

解説