Concevoir une architecture résistante aux DDoS

La défense DDoS la plus efficace repose sur une architecture résiliente, et non sur une réaction de dernière minute. En plaçant vos charges de travail derrière des services périphériques mondiaux, en réduisant la surface exposée et en effectuant une mise à l’échelle élastique, vous permettez à AWS d’absorber les inondations avant qu’elles n’atteignent votre origine. Shield et WAF prennent ensuite le relais.

CloudFront fournit le contenu depuis des centaines de points de présence dotés d’une capacité cumulée considérable, répartissant les inondations volumétriques sur le réseau. Placer CloudFront devant votre application signifie que le trafic d’attaque atteint d’abord la périphérie résiliente, où Shield Standard le protège automatiquement.

Route 53, le service DNS d’AWS, repose sur un réseau anycast distribué mondialement et hautement résilient, qui absorbe les attaques contre la couche DNS. En l’utilisant pour vos domaines et en lui associant des contrôles d’état de santé pour le basculement, vous maintenez la résolution des noms disponible même sous attaque et fournissez des données d’état de santé à Shield Avancé.

AWS Global Accelerator fournit des adresses IP anycast statiques qui acheminent les utilisateurs vers le point de terminaison sain le plus proche via le réseau fédérateur AWS. Il améliore la disponibilité et, comme CloudFront, expose une vaste surface périphérique protégée qui aide à absorber les attaques et à les contourner pour les charges de travail qui n’utilisent pas HTTP.

Réduisez ce que les attaquants peuvent atteindre. Placez les instances dans des sous-réseaux privés, n’exposez que les équilibreurs de charge et évitez autant que possible les adresses IP Elastic publiques. Moins vous avez de points de terminaison directement accessibles, moins une attaque DDoS peut cibler de ressources et plus le trafic doit passer par des services périphériques protégés.

La mise à l’échelle automatique et les services élastiques vous permettent d’ajouter de la capacité pour absorber une inondation plutôt que de vous effondrer sous son effet. Associée à la protection contre les coûts de Shield Avancé, la mise à l’échelle devient une défense viable sans factures incontrôlées. Les conceptions sans état et évolutives horizontalement gèrent bien mieux les pointes que celles dont la capacité est fixe.

Pour les inondations visant la couche applicative, associez WAF avec des règles fondées sur le débit à CloudFront ou à votre ALB afin de limiter les sources abusives à la périphérie. Cette configuration traite les inondations de requêtes en apparence valides que la protection Shield fondée sur le volume ne peut pas gérer, complétant ainsi la défense multicouche.

Veillez à ce que les attaquants ne puissent pas contourner la périphérie en atteignant directement votre origine. Limitez les groupes de sécurité de l’origine aux plages d’adresses IP de CloudFront ou vérifiez un en-tête secret CloudFront, et ne publiez pas les noms DNS de l’origine. Si l’origine est accessible, toutes vos défenses périphériques peuvent être contournées.

Configurez les contrôles d’état de santé de Route 53 et un basculement entre plusieurs AZ ou régions afin que, si un chemin se dégrade, le trafic soit transféré vers un chemin sain. Le routage fondé sur l’état de santé améliore la résilience et, lorsqu’il est associé à Shield Avancé, affine la détection des attaques et l’intervention proactive de la SRT.

Configurez des alertes CloudWatch sur le nombre de requêtes, la latence et les taux d’erreur afin de détecter rapidement les attaques, et consultez la console Shield pour examiner la télémétrie des attaques. Une détection précoce permet aux mesures d’atténuation automatiques et, si vous êtes abonné, à la SRT d’agir avant que l’attaque ne provoque une interruption complète.

Un modèle résilient : Route 53 vers CloudFront (ou Global Accelerator), puis vers WAF et un ALB régional, avec des origines dans des sous-réseaux privés, une mise à l’échelle automatique, Shield Avancé inscrit et un verrouillage de l’origine. Chaque couche absorbe ou filtre une partie de l’attaque, mettant en œuvre une défense en profondeur pour garantir la disponibilité.

Choisissez l’option de conception résiliente.

La résilience aux DDoS se conçoit dans l’architecture : placez les charges de travail derrière CloudFront, Route 53 et Global Accelerator pour absorber les inondations à la périphérie, réduisez la surface d’attaque grâce aux sous-réseaux privés et utilisez la mise à l’échelle automatique pour absorber la charge. Ajoutez des règles WAF fondées sur le débit pour la couche 7, protégez l’origine contre les contournements, configurez des contrôles d’état de santé pour le basculement et déclenchez des alertes en cas d’anomalies du trafic afin de détecter rapidement les attaques.