如何使用 Shield Standard 防御 DDoS 攻击？

2 分钟阅读

我想使用 AWS Shield Standard 保护我的应用程序免受分布式拒绝服务（DDoS）攻击。

简短描述

AWS Shield Standard 是一种托管威胁防护服务，可保护您的应用程序的边界。Shield Standard 提供自动威胁防护，无需额外付费。您可以通过 Shield Standard，使用 Amazon CloudFront、AWS Global Accelerator 和 Amazon Route 53 保护 AWS 网络边缘的应用程序。这些 AWS 服务可以抵御所有已知的网络和传输层攻击。要防御第 7 层 DDoS 攻击，您可以使用 AWS WAF。

要使用 Shield Standard 保护您的应用程序免受 DDoS 攻击，最佳实践是遵循以下适用于您的应用程序架构的准则：

减少攻击面
做好扩展以及缓解攻击的准备
保护已泄露的资源
监控应用程序行为
创建应对攻击的计划

解决方法

减少攻击面

要确保只有预期流量到达您的应用程序，请使用网络访问控制列表（网络 ACL）和安全组。
使用适用于 CloudFront 的 AWS 托管前缀列表。您的入站 HTTP 或 HTTPS 流量的源可以仅限于来自属于面向 CloudFront 源的服务器的 IP 地址。
在私有子网内部署托管应用程序的后端资源。
为降低恶意流量直接到达您的应用程序的可能性，请避免向后端资源分配弹性 IP 地址。

有关详细信息，请参阅减少攻击面。

做好扩展以及缓解 DDoS 攻击的准备

使用 CloudFront、Global Accelerator 和 Route 53 保护 AWS 网络边缘的应用程序。
使用弹性负载均衡缓解和分配多余流量。
使用 AWS Auto Scaling 按需横向扩展。
使用适用于您的应用程序的最佳 Amazon Elastic Compute Cloud（Amazon EC2）实例类型进行垂直扩展。
在您的 Amazon EC2 实例上激活增强型网络。
激活 API 缓存以增强响应能力。
优化 CloudFront 上的缓存。
使用 CloudFront Origin Shield 进一步减少向源缓存内容的请求。

有关详细信息，请参阅缓解技术。

保护已泄露的资源

在阻止模式下使用基于速率的规则配置 AWS WAF，以防御请求洪水攻击。
**注意：**您必须将 CloudFront、Amazon API Gateway、应用程序负载均衡器或 AWS AppSync 配置为使用 AWS WAF。
使用 CloudFront 地理限制根据您的需要阻止来自某些国家/地区的用户访问您的内容。
使用 Amazon API Gateway REST API 对每种方法使用突增限制，以保护您的 API 端点不会被请求淹没。
对您的 Amazon Simple Storage Service（Amazon S3）桶使用来源访问身份（OAI）。
将 API 密钥设置为每个传入请求的 X-API-Key 标头，以保护您的 Amazon API Gateway 免遭直接访问。

监控应用程序行为

创建 Amazon CloudWatch 控制面板，为您的应用程序的关键指标（例如流量模式和资源使用情况）建立基准。
使用集中日志记录解决方案增强 CloudWatch 日志的可见性。
配置 CloudWatch 警报，用于自动扩展应用程序以应对 DDoS 攻击。
创建 Route 53 运行状况检查，用于监控应用程序的运行状况并管理应用程序的流量失效转移以应对 DDoS 攻击。

有关详细信息，请参阅 AWS 应用程序自动扩缩监控。

创建应对 DDoS 攻击的计划

提前制定运行手册，以便您可以高效、及时地应对 DDoS 攻击。有关创建运行手册的指导，请参阅 AWS 安全事件响应指南。您也可以查看此示例运行手册。
在发生造成影响的 DDoS 攻击期间，使用 aws-lambda-shield-engagement 脚本快速向 AWS Support 记录票证。
Shield Standard 可防止 OSI 模型第 3 层和第 4 层发生基于基础设施的 DDoS 攻击。要防御第 7 层 DDoS 攻击，您可以使用 AWS WAF。

有关如何保护您的应用程序免受 DDoS 攻击的详细信息，请参阅 AWS 的 DDoS 弹性最佳实践。