Progettare la resilienza agli attacchi DDoS

La difesa DDoS più efficace è un’architettura resiliente, non una reazione dell’ultimo minuto. Posizionando servizi edge globali davanti ai carichi di lavoro, riducendo al minimo la superficie esposta e scalando in modo elastico, consente ad AWS di assorbire le ondate prima che raggiungano l’origine. Shield e WAF gestiscono poi il traffico rimanente.

CloudFront distribuisce i contenuti da centinaia di edge location con un’enorme capacità aggregata, diluendo le ondate volumetriche attraverso la rete. Posizionare CloudFront davanti all’applicazione fa sì che il traffico d’attacco raggiunga prima l’edge resiliente, che viene protetto automaticamente da Shield Standard.

Route 53, il servizio DNS di AWS, si basa su una rete anycast distribuita globalmente e altamente resiliente, in grado di assorbire gli attacchi al livello DNS. Utilizzarlo per i propri domini, insieme ai controlli dell’integrità per il failover, mantiene disponibile la risoluzione dei nomi anche durante un attacco e fornisce dati sull’integrità a Shield Advanced.

AWS Global Accelerator fornisce indirizzi IP anycast statici che instradano gli utenti verso l’endpoint integro più vicino attraverso il backbone AWS. Migliora la disponibilità e, come CloudFront, presenta un’ampia superficie edge protetta che aiuta ad assorbire gli attacchi e a instradare il traffico altrove per i carichi di lavoro non HTTP.

Riduca ciò che gli aggressori possono raggiungere. Inserisca le istanze in sottoreti private, esponga solo i load balancer ed eviti, ove possibile, gli indirizzi IP pubblici Elastic. Meno endpoint direttamente raggiungibili significa meno obiettivi che un DDoS può colpire e più traffico costretto a passare attraverso servizi edge protetti.

Auto scaling e i servizi elastici consentono di aggiungere capacità per assorbire un’ondata invece di collassare sotto il suo peso. In combinazione con la protezione dai costi di Shield Advanced, la scalabilità diventa una difesa praticabile senza generare addebiti incontrollati. Le architetture senza stato e scalabili orizzontalmente gestiscono i picchi molto meglio di quelle con capacità fissa.

Per le ondate al livello applicativo, colleghi WAF con regole basate sulla frequenza a CloudFront o al Suo ALB, in modo che le sorgenti abusive vengano limitate all’edge. Questo gestisce le ondate di richieste dall’aspetto legittimo che la protezione Shield basata sul volume non riesce a fermare, completando la difesa a più livelli.

Si assicuri che gli aggressori non possano bypassare l’edge colpendo direttamente l’origine. Limiti i security group dell’origine agli intervalli IP di CloudFront oppure verifichi un header segreto di CloudFront e non pubblichi i nomi DNS dell’origine. Se l’origine è raggiungibile, tutte le difese edge possono essere aggirate.

Configuri i controlli dell’integrità di Route 53 e il failover tra più AZ o più Regioni, in modo che, se un percorso si degrada, il traffico venga spostato su uno integro. L’instradamento basato sull’integrità migliora la resilienza e, quando è collegato a Shield Advanced, rende più preciso il rilevamento degli attacchi e il coinvolgimento proattivo dell’SRT.

Imposti allarmi CloudWatch sul numero di richieste, sulla latenza e sui tassi di errore per rilevare tempestivamente gli attacchi e controlli la console Shield per i dati di telemetria degli attacchi. Il rilevamento precoce consente alle mitigazioni automatiche e, se si è abbonati, all’SRT di intervenire prima che l’attacco provochi un’interruzione completa.

Un modello resiliente: Route 53 verso CloudFront (o Global Accelerator), verso WAF, verso un ALB regionale, con origini in sottoreti private, auto scaling, Shield Advanced registrato e blocco dell’origine. Ogni livello assorbe o filtra una parte dell’attacco, realizzando una difesa in profondità per garantire la disponibilità.

La resilienza DDoS si progetta: posizioni i carichi di lavoro dietro CloudFront, Route 53 e Global Accelerator per assorbire le ondate all’edge, riduca la superficie d’attacco con sottoreti private e utilizzi l’auto scaling per assorbire il carico. Aggiunga le regole WAF basate sulla frequenza per il Livello 7, protegga l’origine dai bypass, configuri i controlli dell’integrità per il failover e imposti allarmi sulle anomalie del traffico per il rilevamento precoce.