Shield Standard und Shield Advanced

AWS Shield ist in zwei Stufen verfügbar. Shield Standard ist kostenlos und für alle aktiviert; Shield Advanced ist ein kostenpflichtiges Abonnement und bietet erweiterten Schutz, bessere Transparenz, Support und finanzielle Absicherungen. Genau zu wissen, welche Stufe welchen Schutz bietet, ist ein besonders prüfungsrelevantes Thema.

Shield Standard schützt alle AWS-Kunden automatisch und kostenlos vor den häufigsten Angriffen auf Layer 3 und Layer 4. Es erfordert keine Einrichtung und ist immer aktiv. Besonders wirksam ist es für Ressourcen hinter CloudFront und Route 53. Damit verfügt jedes Konto bereits über einen Basisschutz.

Shield Advanced ist eine kostenpflichtige Stufe (mit einer erheblichen monatlichen Grundgebühr sowie Datengebühren), die Standard um detailliertere Erkennung, umfassendere Angriffsminderung, Kostenschutz und Zugang zu Spezialisten erweitert. Sie richtet sich an Organisationen, deren Verfügbarkeit geschäftskritisch ist oder die häufig angegriffen werden.

Advanced bietet über die Shield-Konsole und detaillierte Metriken nahezu in Echtzeit erfolgende Einblicke in Angriffe. Zusätzlich gibt es eine zustandsbasierte Erkennung, die die Route-53-Zustandsprüfungen Ihrer Anwendung nutzt, um Angriffe schneller zu erkennen und False Positives zu reduzieren. Standard stellt diese Detailtiefe bei Angriffen nicht bereit.

Mit Advanced schützen Sie bestimmte Ressourcen ausdrücklich: CloudFront-Distributionen, gehostete Route-53-Zonen, Global Accelerator, Elastic IPs sowie Application oder Classic Load Balancers. Durch die Registrierung von Ressourcen werden die erweiterten Abwehrmaßnahmen und Berichte für diese Ressourcen aktiviert, während Standard einen umfassenden, aber weniger tiefgehenden Schutz bietet.

Shield Advanced lässt sich für geschützte Ressourcen ohne zusätzliche WAF-Gebühren in AWS WAF integrieren. Dadurch können Sie WAF-Regeln einsetzen, um DDoS-Angriffe auf der Anwendungsschicht abzuwehren, ohne separate WAF-Gebühren zu zahlen. Diese enge Integration ist ein wesentlicher Grund, warum Advanced für Resilienz auf Layer 7 gewählt wird.

Advanced kann während eines Angriffs auf der Anwendungsschicht automatisch WAF-Regeln erstellen und anwenden, wenn Sie die automatische Abwehr aktivieren. Dabei wird der normale Datenverkehr als Referenz erfasst und es werden ratenbasierte Regeln oder Blockierungsregeln erstellt, um Angriffsdatenverkehr abzuweisen. Sobald der Angriff nachlässt, werden die Regeln entfernt, wodurch sich die manuelle Reaktionszeit verkürzt.

Ein herausragender Vorteil von Advanced ist der DDoS-Kostenschutz: AWS stellt Serviceguthaben für Skalierungsgebühren (zusätzliche Nutzung von EC2, ELB, CloudFront und Route 53) bereit, die aufgrund eines dokumentierten DDoS-Ereignisses bei geschützten Ressourcen anfallen. Dadurch sind Sie vor unerwartet hohen Rechnungen durch angreiferbedingte Skalierung geschützt.

Advanced gewährt Ihnen Zugriff auf das Shield Response Team (SRT), AWS-Experten für DDoS-Angriffe, die Sie während aktiver Angriffe unterstützen. Mit der entsprechenden Autorisierung können sie in Ihrem Auftrag Gegenmaßnahmen anwenden. Kunden von Standard erhalten diese persönliche Unterstützung nicht und sind ausschließlich auf automatisierte Abwehrmechanismen angewiesen.

Wählen Sie Standard, wenn der standardmäßige Schutz auf Layer 3/4 ausreicht und Sie Layer 7 selbst mit WAF absichern können. Wählen Sie Advanced, wenn Sie garantierte Verfügbarkeit, Einblick in Angriffe, Kostenschutz, automatische Maßnahmen auf Layer 7 und fachkundige Unterstützung benötigen – typischerweise für umsatzkritische oder besonders exponierte Workloads.

Bei vielen Konten kann der AWS Firewall Manager Shield-Advanced-Schutz und WAF-Richtlinien zentral auf Ressourcen in der gesamten Organisation anwenden. Dadurch erhalten neue Ressourcen automatisch DDoS-Schutz, ohne dass jedes Team sie manuell registrieren muss – ein großer Vorteil für die Governance großer Umgebungen.

Unterscheiden Sie die Shield-Stufen.

Shield Standard ist kostenlos, automatisch aktiviert und schützt vor gängigen Angriffen auf Layer 3/4. Shield Advanced ist kostenpflichtig und bietet nahezu Echtzeit-Einblick in Angriffe, registrierte geschützte Ressourcen, kostenlose WAF-Integration mit automatischer Abwehr auf Layer 7, Guthaben für den DDoS-Kostenschutz sowie Zugriff auf das Shield Response Team. Der Firewall Manager wendet Advanced- und WAF-Richtlinien organisationsweit an und ermöglicht so eine zentrale Governance.