Wie schütze ich mich mit Shield Standard vor DDoS-Angriffen?

Kurzbeschreibung

AWS Shield Standard ist standardmäßig für dein AWS-Konto ohne zusätzliche Kosten aktiv. Für die folgenden Services sind Shield-Standardschutzmaßnahmen gegen gängige Netzwerk- und Transportebenenangriffe standardmäßig aktiviert:

• Amazon CloudFront für HTTP- und gRPC Remote Procedure Call-Workloads
• Amazon Route 53 für DNS

Lösung

Um deine Anwendung mit Shield Standard vor DDoS-Angriffen zu schützen, empfiehlt es sich, die folgenden Richtlinien für deine Anwendungsarchitektur zu befolgen:

• Nutze skalierbare Services.
• Reduziere die Angriffsfläche.
• Erkenne und filtere bösartigen Datenverkehr.
• Überwache das Anwendungsverhalten.
• Erstelle einen Plan für DDoS-Angriffe.

Skalierbare Services nutzen

Plane für große Mengen an Datenverkehr mit den folgenden bewährten Methoden:

• Schütze deine Anwendung am Rand des AWS-Netzwerks mit CloudFront, Global Accelerator und Route 53.
• Verteile den Traffic mit Elastic Load Balancing und reserviere für Application Load Balancer eine Mindestkapazität mit [Kapazitätsreservierungen] (http://Capacity-Reservierungen für deinen Application Load Balancer).
• Skaliere horizontal oder vertikal bei Bedarf mit Auto Scaling für Anwendungen, das in mehrere Services integriert ist.

Angriffsfläche reduzieren

Reduziere die Angriffsfläche mit den folgenden bewährten Methoden:

• Beschränke den Zugriff auf CloudFront-Ursprünge. Verwende für einen Amazon S3-Ursprung Origin Access Control (OAC). Verwende VPC-Ursprünge für einen Ursprung, der ein Elastic Load Balancer, Network Load Balancer oder eine EC2-Instance ist. Wenn du derzeit eine von CloudFront verwaltete Präfixliste ohne VPC-Ursprünge verwendest, implementiere VPC-Ursprünge.
• Um sicherzustellen, dass nur der erwartete Datenverkehr deine Anwendung erreicht, verwende Netzwerk-Zugriffssteuerungslisten (Netzwerk-ACLs) und Sicherheitsgruppen.
• Um die Wahrscheinlichkeit von bösartigem Datenverkehr zu deiner Anwendung zu verringern, weise deinen Backend-Ressourcen keine öffentlichen Elastic IP-Adressen zu.

Weitere Informationen findest du unter Reduzierung der Angriffsfläche.

Bösartigen Datenverkehr erkennen und filtern

Erkenne und filtere bösartigen Datenverkehr mit den folgenden bewährten Methoden:

• Befolge die bewährten Methoden von AWS WAF, die hier beschrieben sind: DDoS-Resilienz – AWS WAF zum Schutz vor DDoS-Botnets verwenden.
  Hinweis: Du musst Amazon CloudFront, Amazon API Gateway, Application Load Balancer, AWS AppSync oder Amazon Cognito verwenden, um AWS WAF verwenden zu können.
• Verwende CloudFront CDN-Caching, um zwischenspeicherbare Anfragen an deinen Ursprung zu reduzieren – siehe DDoS-Resilienz – die unglaubliche Bedeutung von HTTP-Caching.
• Aktiviere gegebenenfalls das API-Caching auf dem API Gateway und verwende Burst-Limits für jede Methode mit deinen Amazon API Gateway-REST-APIs.

Weitere Informationen findest du unter Abwehrtechniken.

Anwendungsverhalten überwachen

Überwache das Anwendungsverhalten mit den folgenden bewährten Methoden:

• Erstelle Amazon CloudWatch-Dashboards, um eine Basis für die wichtigsten Kennzahlen deiner Anwendung wie Datenverkehrsmuster und Ressourcennutzung zu erstellen.
• Verbessere die Sichtbarkeit deiner CloudWatch Logs mit der [Centralized Logging-Lösung](http:// https//docs.aws.amazon.com/solutions/latest/centralized-logging-with-opensearch/solution-overview.html).
• Konfiguriere CloudWatch-Alarme zur automatischen Skalierung der Anwendung als Reaktion auf einen DDoS-Angriff.

Weitere Informationen findest du unter Auto Scaling von Anwendungen überwachen.

Plan für DDoS-Angriffe erstellen

Entwickle im Voraus ein Runbook, damit du effizient und zeitnah auf DDoS-Angriffe reagieren kannst. Eine Anleitung zur Erstellung eines Runbooks findest du im technischen Leitfaden zu AWS Security Incident Response.

Weitere Informationen zum Schutz deiner Anwendung vor DDoS-Angriffen findest du unter AWS Bewährte Methoden für DDoS-Resilienz.

Verwandte Informationen

So schützt du dynamische Webanwendungen mithilfe von CloudFront und Route 53 vor DDoS-Angriffen

So schützt du deine Webanwendung mithilfe von Route 53 und einem externen Content Delivery Network vor DDoS-Angriffen

So schützt du einen selbstverwalteten DNS-Service mit AWS Global Accelerator und AWS Shield Advanced vor DDoS-Angriffen

Testen und Optimieren deines AWS WAF-Schutzes