Shield Standard frente a Shield Advanced

AWS Shield está disponible en dos niveles. Shield Standard es gratuito y está activado para todos; Shield Advanced es una suscripción de pago que añade protección, visibilidad, soporte y salvaguardas financieras mejorados. Saber exactamente qué cubre cada nivel es un tema de gran importancia en el examen.

Shield Standard protege automáticamente a todos los clientes de AWS frente a los ataques más comunes de las capas 3 y 4 sin coste. No requiere configuración y está siempre activo; resulta especialmente eficaz para los recursos que están detrás de CloudFront y Route 53. Es la protección básica que ya tiene toda cuenta.

Shield Advanced es un nivel de pago (con un compromiso mensual considerable, además de tarifas por datos) que amplía Standard con una detección más profunda, una mitigación de ataques superior, protección de costes y acceso a especialistas. Está dirigido a organizaciones cuya disponibilidad es crítica para el negocio o que son objetivos frecuentes.

Advanced añade visibilidad casi en tiempo real de los ataques mediante la consola de Shield y métricas detalladas, además de una detección basada en el estado que utiliza las comprobaciones de estado de Route 53 de su aplicación para detectar los ataques más rápidamente y reducir los falsos positivos. Standard no ofrece este nivel de detalle sobre los ataques.

Con Advanced, usted protege explícitamente recursos específicos: distribuciones de CloudFront, zonas alojadas de Route 53, Global Accelerator, direcciones IP elásticas y Application o Classic Load Balancers. Registrar los recursos habilita las mitigaciones avanzadas y los informes para ellos, mientras que Standard se aplica de forma amplia, pero superficial.

Shield Advanced se integra con AWS WAF sin cargos adicionales de WAF para los recursos protegidos, por lo que puede implementar reglas de WAF para mitigar ataques DDoS de la capa de aplicación sin pagar tarifas independientes de WAF. Esta estrecha integración es una razón clave para elegir Advanced cuando se necesita resiliencia en la capa 7.

Advanced puede crear y aplicar reglas de WAF automáticamente durante un ataque de la capa de aplicación cuando se habilita la mitigación automática. Establece una línea base del tráfico normal y crea reglas basadas en tasa o de bloqueo para descartar el tráfico del ataque; después las elimina cuando el ataque disminuye, reduciendo el tiempo de respuesta manual.

Una ventaja destacada de Advanced es la protección de costos frente a DDoS: AWS proporciona créditos de servicio para los cargos de escalado (uso adicional de EC2, ELB, CloudFront y Route 53) ocasionados por un evento DDoS documentado en recursos protegidos. Esto le protege de facturas inesperadas causadas por el escalado provocado por un ataque.

Advanced proporciona acceso al Shield Response Team (SRT), un equipo de expertos de AWS en DDoS que ofrece ayuda durante ataques activos. Con la autorización adecuada, pueden aplicar mitigaciones en su nombre. Los clientes de Standard no reciben este soporte práctico y dependen únicamente de las defensas automatizadas.

Elija Standard cuando sea suficiente la protección predeterminada de las capas 3 y 4 y pueda gestionar la capa 7 con WAF por su cuenta. Elija Advanced cuando necesite disponibilidad garantizada, visibilidad de los ataques, protección de costos, mitigación automática de la capa 7 y asistencia experta, normalmente para cargas de trabajo críticas para los ingresos o de gran relevancia.

En muchas cuentas, AWS Firewall Manager puede aplicar de forma centralizada las protecciones de Shield Advanced y las políticas de WAF a los recursos de toda la organización. Así, los recursos nuevos reciben automáticamente protección contra DDoS sin que cada equipo tenga que registrarlos manualmente, lo que supone una ventaja de gobernanza para entornos grandes.

Diferencie los niveles de Shield.

Shield Standard es gratuito, automático y cubre los ataques comunes de las capas 3 y 4. Shield Advanced es de pago y añade visibilidad de los ataques casi en tiempo real, recursos protegidos registrados, integración gratuita con WAF y mitigación automática de la capa 7, créditos de protección de costos frente a DDoS y acceso al Shield Response Team. Firewall Manager aplica las políticas de Advanced y WAF en toda la organización para centralizar la gobernanza.