Shield Standard ou Shield Advanced

AWS Shield existe en deux niveaux. Shield Standard est gratuit et activé pour tout le monde ; Shield Advanced est un abonnement payant qui ajoute une protection, une visibilité, un support et des garanties financières renforcés. Savoir précisément ce que couvre chaque niveau est un sujet très rentable à l'examen.

Shield Standard protège automatiquement tous les clients AWS contre les attaques les plus courantes des couches 3 et 4, sans frais. Il ne nécessite aucune configuration et reste toujours actif ; il est particulièrement efficace pour les ressources placées derrière CloudFront et Route 53. C'est la protection de base dont dispose déjà chaque compte.

Shield Advanced est un niveau payant (avec un engagement mensuel important, auquel s'ajoutent des frais de données) qui s'appuie sur Standard en offrant une détection plus approfondie, une atténuation renforcée des attaques, une protection des coûts et l'accès à des spécialistes. Il s'adresse aux organisations dont la disponibilité est critique pour l'activité ou qui sont fréquemment ciblées.

Advanced ajoute une visibilité quasi instantanée sur les attaques grâce à la console Shield et à des métriques détaillées, ainsi qu'une détection fondée sur l'état de santé qui utilise les vérifications d'état Route 53 de votre application pour repérer les attaques plus rapidement et réduire les faux positifs. Standard ne fournit pas ce niveau de détail sur les attaques.

Avec Advanced, vous protégez explicitement des ressources spécifiques : distributions CloudFront, zones hébergées Route 53, Global Accelerator, adresses IP élastiques et équilibreurs de charge applicatifs ou classiques. L'inscription des ressources active pour celles-ci les mécanismes d'atténuation avancés et les rapports, tandis que Standard s'applique largement, mais de manière moins approfondie.

Shield Advanced s'intègre à AWS WAF sans frais WAF supplémentaires pour les ressources protégées. Vous pouvez ainsi déployer des règles WAF afin d'atténuer les attaques DDoS de la couche applicative sans payer de frais WAF distincts. Cette intégration étroite est l'une des principales raisons de choisir Advanced pour la résilience de la couche 7.

Advanced peut créer et appliquer automatiquement des règles WAF pendant une attaque de la couche applicative lorsque vous activez l'atténuation automatique. Il établit une référence du trafic normal et élabore des règles basées sur le débit ou de blocage pour écarter le trafic malveillant, puis les supprime lorsque l'attaque diminue, ce qui réduit le temps de réponse manuel.

La protection contre les coûts liés aux DDoS est un avantage avancé majeur : AWS fournit des crédits de service pour les frais de mise à l’échelle (utilisation supplémentaire d’EC2, d’ELB, de CloudFront et de Route 53) engagés en raison d’un événement DDoS documenté touchant des ressources protégées. Vous êtes ainsi à l’abri des factures imprévues causées par une mise à l’échelle déclenchée par une attaque.

Le niveau Avancé donne accès à la Shield Response Team (SRT), composée d’experts AWS des DDoS qui vous assistent pendant les attaques en cours. Avec l’autorisation appropriée, ces experts peuvent appliquer des mesures d’atténuation en votre nom. Les clients du niveau Standard ne bénéficient pas de cette assistance pratique et doivent se reposer uniquement sur les défenses automatisées.

Choisissez le niveau Standard lorsque la protection par défaut des couches 3 et 4 suffit et que vous pouvez gérer vous-même la couche 7 avec WAF. Choisissez le niveau Avancé lorsque vous avez besoin d’une disponibilité garantie, d’une visibilité sur les attaques, d’une protection contre les coûts, d’une atténuation automatique au niveau de la couche 7 et de l’assistance d’experts, généralement pour des charges de travail critiques pour les revenus ou très exposées.

Dans plusieurs comptes, AWS Firewall Manager peut appliquer de manière centralisée les protections Shield Avancé et les politiques WAF aux ressources de toute l’organisation. Les nouvelles ressources bénéficient ainsi automatiquement d’une protection contre les DDoS, sans que chaque équipe doive les inscrire manuellement : c’est un atout de gouvernance pour les grandes infrastructures.

Distinguez les niveaux de Shield.

Shield Standard est gratuit, automatique et couvre les attaques courantes des couches 3 et 4. Shield Avancé est payant et ajoute une visibilité quasi instantanée sur les attaques, des ressources protégées inscrites, l’intégration WAF gratuite avec atténuation automatique au niveau de la couche 7, des crédits de protection contre les coûts liés aux DDoS et l’accès à la Shield Response Team. Firewall Manager applique les politiques Avancé et WAF à l’échelle de l’organisation pour une gouvernance centralisée.