グローバルに展開する EC サイトが CloudFront と Application Load Balancer で構成されている。大規模な帯域消費型 DDoS 攻撃に対する自動緩和に加え、HTTP フラッド攻撃への

Question

グローバルに展開する EC サイトが CloudFront と Application Load Balancer で構成されている。大規模な帯域消費型 DDoS 攻撃に対する自動緩和に加え、HTTP フラッド攻撃への L7 レベルの対応と、攻撃規模が拡大した際に AWS の専任チームから 24 時間サポートを受けることが要件に含まれる。これらすべての要件を満たす構成はどれか。

Accepted Answer

正解: AWS Shield Advanced を有効化し、AWS WAF のレートベースルールとマネージドルールを CloudFront ディストリビューションに関連付けて L7 攻撃を制御する。Shield AdvancedはL3/L4の自動緩和、DDoS対応チーム（DRT）の24時間サポート、攻撃コスト保護を提供し、WAFをCloudFrontに関連付けることでL7フラッドにも対応できる。

Answer

AWS Shield Advanced を有効化し、AWS WAF のレートベースルールを EC2 インスタンスのセキュリティグループと組み合わせてオリジンで L7 攻撃をブロックする — AWS WAF は EC2 インスタンスに直接関連付けることができず、CloudFront・ALB・API Gateway 等のサポートリソースへの適用が必要。

Answer

AWS Shield Standard と AWS WAF のマネージドルールグループを CloudFront と ALB の両方に関連付け、Route 53 ヘルスチェックと Auto Scaling で可用性を確保する — AWS Shield Standard は DRT による専任サポートや攻撃コスト保護を提供せず、24 時間サポートの要件を満たさない。

Answer

AWS Shield Standard と AWS WAF のレートベースルールを CloudFront に関連付け、Auto Scaling で容量を増加させて攻撃トラフィックを吸収する — AWS Shield Standard は DRT サポートを含まず、Auto Scaling による容量拡大では帯域消費型 DDoS の根本的な緩和にならない。

解説