Shield StandardとShield Advancedの比較

AWS Shield には 2 つの階層があります。Shield Standardは無料で、すべてのユーザーに対して有効です。Shield Advancedは有料サブスクリプションで、強化された保護、可視性、サポート、金銭面の保護を追加します。各階層が正確に何をカバーするのかを知ることは、試験で得点につながりやすい重要なテーマです。

Shield Standardは、すべての AWS 顧客を、最も一般的なレイヤー 3 およびレイヤー 4攻撃から無料で自動的に保護します。設定は不要で常に有効です。特に CloudFront と Route 53 の背後にあるリソースに対して効果を発揮します。すべてのアカウントに最初から備わっている基本的な保護です。

Shield Advancedは有料階層です（相当額の月額料金に加えてデータ料金がかかります）。Standard を基盤として、より高度な検出、大規模な攻撃の緩和、コスト保護、専門家へのアクセスを提供します。可用性がビジネス上重要な組織や、頻繁に攻撃を受ける組織を対象としています。

Advanced では、Shield コンソールと詳細なメトリクスによるほぼリアルタイムの可視性が追加されます。また、アプリケーションの Route 53 ヘルスチェックを使用するヘルスベースの検出によって、攻撃をより早く発見し、誤検知を減らせます。Standard では、このレベルの攻撃の詳細情報は提供されません。

Advanced では、保護する特定のリソースを明示的に指定します。対象は、CloudFront ディストリビューション、Route 53 ホストゾーン、Global Accelerator、Elastic IP、Application Load Balancer、Classic Load Balancer です。リソースを登録すると、そのリソースに対する高度な緩和機能とレポートが利用できるようになります。一方、Standard は広範囲に適用されますが、保護はより基本的です。

Shield Advanced は、保護対象リソースに対して追加の WAF 料金なしで AWS WAF と統合できます。そのため、別途 WAF の料金を支払うことなく、WAF ルールをデプロイしてアプリケーション層の DDoS を緩和できます。この緊密な統合は、レイヤー 7 のレジリエンスに Advanced が選ばれる主な理由です。

自動緩和を有効にすると、Advanced はアプリケーション層の攻撃中にWAF ルールを自動的に作成して適用できます。通常のトラフィックをベースラインとして把握し、レートベースルールまたはブロックルールを作成して攻撃トラフィックを排除します。攻撃が収まるとルールを削除するため、手動対応にかかる時間を短縮できます。

Advancedの特に注目すべきメリットの1つがDDoSコスト保護です。保護対象リソースで発生したDDoSイベントが原因で生じたスケーリング料金（追加のEC2、ELB、CloudFront、Route 53の使用料金）に対して、AWSがサービスクレジットを提供します。これにより、攻撃によるスケーリングが原因の予期しない請求から保護されます。

Advancedでは、攻撃発生時に支援するAWSのDDoS専門家であるShield Response Team (SRT)にアクセスできます。適切な認証を付与すれば、SRTがユーザーに代わって緩和策を適用できます。Standardの利用者にはこのような人的な支援は提供されず、自動防御のみを利用します。

デフォルトのLayer 3/4保護で十分で、Layer 7を自分でWAFに対応させられる場合はStandardを選択します。可用性の保証、攻撃の可視化、コスト保護、自動Layer 7緩和、専門家の支援が必要な場合はAdvancedを選択します。通常は、収益に直結するワークロードや注目度の高いワークロードに適しています。

複数のアカウントにまたがる環境では、AWS Firewall Managerを使用して、組織全体のリソースにShield Advancedの保護とWAFポリシーを一元的に適用できます。これにより、新しいリソースにも各チームが手動で登録しなくてもDDoS保護が自動的に適用され、大規模環境のガバナンスに役立ちます。

Shieldの各ティアの違いを確認します。

Shield Standardは無料かつ自動で、一般的なLayer 3/4攻撃を対象とします。Shield Advancedは有料で、ほぼリアルタイムの攻撃可視化、登録済みの保護対象リソース、自動Layer 7緩和を備えた無料のWAF統合、DDoSコスト保護のクレジット、Shield Response Teamへのアクセスを追加します。Firewall Managerを使用すると、AdvancedとWAFのポリシーを組織全体に適用して一元的に管理できます。