AWS Shield 入門 - マネージドDDoS保護の仕組み
インターネットに公開されているWebアプリケーションは、常にDDoS（分散型サービス拒否）攻撃のリスクにさらされています。 AWS Shieldは、AWS上で実行されるアプリケーションをDDoS攻撃から保護するマネージドサービスです。
AWS Shield とは
AWS Shieldは、OSI参照モデルのレイヤー3（ネットワーク層）およびレイヤー4（トランスポート層）のDDoS攻撃を自動的に検出し、緩和するサービスです。 すべてのAWS顧客に自動的に適用される「Standard」と、より高度な保護を提供する「Advanced」の2つのティアがあります。
2つのティア（Standard vs Advanced）
| 機能 | AWS Shield Standard | AWS Shield Advanced |
|---|---|---|
| 利用料金 | 無料 | 月額 $3,000 + データ転送料 |
| 適用範囲 | 全AWSリソース（自動） | EC2, ELB, CloudFront, Route 53, Global Accelerator |
| 保護レベル | レイヤー3/4（インフラ層）の一般的攻撃 | レイヤー3/4 + レイヤー7（アプリ層）の高度な攻撃 |
| 可視化 | なし | 攻撃の検知・緩和状況をコンソールで確認可能 |
| サポート | 一般サポートのみ | 24/365のDDoS対応チーム (SRT) へのアクセス |
| コスト保護 | なし | DDoS攻撃によるスパイク時の課金免除 |
Shield Standard の機能
AWS Shield Standardは、追加費用なしで自動的に有効化されています。 SYNフラッド攻撃やUDPリフレクション攻撃など、最も一般的で頻繁に発生するインフラストラクチャ層の攻撃から、AWSの全リージョン・全アベイラビリティーゾーンを保護しています。
特別な設定は不要で、CLB (Classic Load Balancer)、ALB (Application Load Balancer)、CloudFront、Route 53などのサービスを利用するだけで恩恵を受けられます。
@mermaid graph TD A[攻撃者] -->|DDoS攻撃| B[AWS エッジロケーション] B -->|Shield Standardによる緩和| C[正常なトラフィックのみ通過] C --> D[あなたのAWSリソース]
style B fill:#ff9900,stroke:#333,stroke-width:2px,color:#fff
@
Shield Advanced の機能
ミッションクリティカルなアプリケーション向けに、以下の追加機能を提供します。
1. アプリケーション層（L7）の保護
AWS WAFと連携し、HTTPフラッドなどのアプリケーション層攻撃を検知・緩和します。 WAFのルール作成を自動化する機能も含まれています。
2. DDoS対応チーム (SRT) へのアクセス
攻撃発生時に、AWSの専門家チームであるSRT (Shield Response Team) に直接連絡し、緩和策の支援を受けることができます。 ビジネスサポート以上の契約が必要ですが、攻撃中の緊急対応として非常に強力です。
3. コストプロテクション
DDoS攻撃によってリソース（EC2のオートスケーリングやCloudFrontの転送量など）が急増した場合、その増加分の料金が免除される保険のような仕組みです。
どのような時に Advanced を検討すべきか？
- ダウンタイムが許されない大規模サービス: 金融機関、大規模ECサイトなど
- 攻撃の可視化が必要: どのような攻撃を受けているかレポートが必要な場合
- 専門家のサポートが必要: 自社にセキュリティ専任者が不在で、攻撃時の対応をAWSに頼りたい場合
- 高額な請求リスクの回避: 攻撃による課金急増（EDR: Economic Denial of Sustainability）を防ぎたい場合
まとめ
小規模・中規模のWebサイトであれば、無料のAWS Shield Standardと、適切に設定されたAWS WAFの組み合わせで十分な保護が得られます。 ビジネスの規模やリスク許容度に応じて、月額固定費のかかるAdvancedへのアップグレードを検討しましょう。