Memahami Serangan DDoS di AWS

Serangan Distributed Denial of Service (DDoS) membanjiri target dengan lalu lintas dari banyak sumber secara bersamaan, dengan tujuan menghabiskan kapasitasnya sehingga pengguna yang sah tidak dapat terhubung. Karena lalu lintas berasal dari ribuan host yang tersebar, Anda tidak dapat sekadar memblokir satu IP; Anda harus menyerap atau menyaring banjir lalu lintas tersebut.

Serangan volumetrik bertujuan memenuhi bandwidth jaringan dengan volume yang sangat besar, yang diukur dalam gigabit atau terabit per detik. Contohnya mencakup banjir UDP serta serangan refleksi atau amplifikasi yang memantulkan lalu lintas melalui server terbuka (DNS, NTP) untuk memperbesar ukurannya. Serangan ini beroperasi pada Lapisan 3.

Serangan protokol (Lapisan 4) menghabiskan sumber daya status koneksi, bukan bandwidth. Contoh klasiknya adalah banjir SYN, yang mengirimkan banyak jabat tangan TCP setengah terbuka hingga tabel koneksi target penuh dan tidak ada sesi baru yang dapat dibuat.

Serangan lapisan aplikasi (Lapisan 7) mengirimkan banyak permintaan yang tampak valid, seperti banjir permintaan HTTP GET ke halaman yang mahal diproses, untuk menghabiskan CPU, memori, atau koneksi basis data. Serangan ini menggunakan bandwidth yang jauh lebih sedikit dan menyatu dengan lalu lintas nyata, sehingga lebih sulit dideteksi daripada banjir volumetrik.

AWS menyerap DDoS di edge global. Layanan seperti CloudFront, Rute 53, dan Akselerator Global berjalan di banyak lokasi edge dengan kapasitas gabungan yang sangat besar, sehingga banjir lalu lintas melemah sebelum mencapai origin Anda. Merancang arsitektur di edge itu sendiri merupakan pertahanan terhadap DDoS.

AWS Shield Standard diaktifkan untuk semua pelanggan tanpa biaya tambahan dan secara otomatis melindungi dari serangan lapisan jaringan dan transportasi yang paling umum. Anda tidak perlu mengonfigurasinya; layanan ini melindungi setiap sumber daya AWS, terutama yang berada di balik layanan edge, dari banjir umum Lapisan 3 dan 4.

Shield Standard berfokus pada lapisan jaringan dan transportasi. Banjir lapisan aplikasi ditangani dengan aturan berbasis laju AWS WAF dan Shield Advanced. Karena itu, pertahanan DDoS menggabungkan Shield untuk menangani volume dengan WAF untuk penyaringan tingkat permintaan, suatu pasangan yang sering diuji dalam ujian.

Selain waktu henti, DDoS dapat meningkatkan biaya penskalaan otomatis dan bandwidth saat infrastruktur Anda berusaha melayani banjir lalu lintas. Dampak finansial ini, yang terkadang disebut penolakan keberlanjutan ekonomi, merupakan salah satu alasan Shield Advanced menawarkan kredit perlindungan biaya untuk penskalaan yang dipicu oleh serangan.

Tanda-tanda DDoS mencakup lonjakan lalu lintas secara tiba-tiba, latensi yang meningkat, dan laju kesalahan yang melonjak. Metrik CloudWatch tentang jumlah permintaan serta konsol Shield dapat mengungkap anomali. Shield Advanced menambahkan visibilitas serangan hampir waktu nyata dan notifikasi, sehingga Anda mengetahui bahwa serangan sedang berlangsung, bukan sekadar mengetahui bahwa aplikasi melambat.

Postur DDoS terbaik dirancang sejak awal, bukan ditambahkan belakangan. Menempatkan CloudFront dan Rute 53 di depan beban kerja, menggunakan penskalaan otomatis, dan meminimalkan permukaan yang terekspos memungkinkan AWS menyerap banjir lalu lintas di edge. Shield dan WAF kemudian menangani sisanya. Ketahanan berasal dari arsitektur serta layanan-layanan ini secara bersama-sama.

Selanjutnya Anda akan membandingkan Shield Standard dan Shield Advanced, mempelajari manfaat tambahan dari Tim Respons DDoS dan perlindungan biaya, serta mempelajari cara merancang arsitektur yang tangguh. Memahami jenis serangan di sini membantu Anda menentukan pertahanan yang tepat untuk setiap lapisan.

Klasifikasikan jenis serangannya.

DDoS membanjiri target dari banyak sumber. Serangan volumetrik (Lapisan 3) memenuhi bandwidth melalui banjir UDP dan amplifikasi; serangan protokol (Lapisan 4) seperti banjir SYN menghabiskan status koneksi; serangan lapisan aplikasi (Lapisan 7) mengirimkan permintaan yang tampak valid untuk menguras kapasitas komputasi. Layanan edge AWS melemahkan banjir lalu lintas, Shield Standard secara otomatis melindungi Lapisan 3 dan 4, sedangkan aturan berbasis laju WAF menangani Lapisan 7.