Shield Standard와 Shield Advanced 비교

AWS Shield는 두 가지 등급으로 제공됩니다. Shield Standard는 무료이며 모든 사용자에게 활성화되어 있고, Shield Advanced는 향상된 보호, 가시성, 지원 및 재정적 보호 기능을 추가하는 유료 구독입니다. 각 등급이 정확히 무엇을 보호하는지 아는 것은 시험에서 높은 비중을 차지하는 주제입니다.

Shield Standard는 모든 AWS 고객을 가장 일반적인 계층 3 및 계층 4 공격으로부터 무료로 자동 보호합니다. 설정이 필요 없고 항상 활성 상태이며, 특히 CloudFront와 Route 53 뒤에 있는 리소스에 효과적입니다. 모든 계정이 이미 갖추고 있는 기본 보호 기능입니다.

Shield Advanced는 유료 등급으로, 상당한 월별 약정 비용과 데이터 요금이 발생합니다. Standard를 기반으로 더 정밀한 탐지, 대규모 공격 완화, 비용 보호 및 전문가 지원을 추가합니다. 가용성이 비즈니스에 핵심적이거나 공격 대상이 되기 쉬운 조직을 위한 서비스입니다.

Advanced는 Shield 콘솔과 세부 지표를 통해 공격에 대한 거의 실시간에 가까운 가시성을 제공합니다. 또한 애플리케이션의 Route 53 상태 확인을 사용하는 상태 기반 탐지 기능으로 공격을 더 빠르게 식별하고 오탐을 줄입니다. Standard에서는 이 수준의 공격 세부 정보를 제공하지 않습니다.

Advanced에서는 CloudFront 배포, Route 53 호스팅 영역, Global Accelerator, Elastic IP, 애플리케이션 또는 클래식 로드 밸런서 등 특정 리소스를 명시적으로 보호합니다. 리소스를 등록하면 해당 리소스에 대한 고급 완화 기능과 보고 기능이 활성화됩니다. 반면 Standard는 광범위하게 적용되지만 보호 수준은 기본적입니다.

보호된 리소스에 대해 Shield Advanced는 추가 WAF 요금 없이 AWS WAF와 통합되므로 별도의 WAF 요금 없이 WAF 규칙을 배포하여 애플리케이션 계층 DDoS를 완화할 수 있습니다. 이러한 긴밀한 통합은 계층 7 복원력을 위해 Advanced를 선택하는 주요 이유입니다.

자동 완화를 활성화하면 Advanced가 애플리케이션 계층 공격 중에 WAF 규칙을 자동으로 생성하고 적용할 수 있습니다. 정상 트래픽의 기준을 설정한 뒤 속도 기반 규칙 또는 차단 규칙을 작성하여 공격 트래픽을 줄이고, 공격이 잦아들면 해당 규칙을 제거하므로 수동 대응 시간을 줄일 수 있습니다.

Advanced의 대표적인 혜택은 DDoS 비용 보호입니다. AWS는 보호된 리소스에서 문서화된 DDoS 이벤트가 발생하여 확장 비용(추가 EC2, ELB, CloudFront, Route 53 사용량)이 부과된 경우 서비스 크레딧을 제공합니다. 이를 통해 공격으로 인한 확장 때문에 예상하지 못한 요금이 발생하는 것을 막을 수 있습니다.

Advanced를 사용하면 실제 공격이 진행되는 동안 지원하는 AWS DDoS 전문가인 Shield Response Team (SRT)에 접근할 수 있습니다. 적절한 권한을 부여하면 SRT가 사용자를 대신하여 완화 조치를 적용할 수 있습니다. Standard 고객에게는 이러한 직접적인 지원이 제공되지 않으므로 자동 방어 기능에만 의존해야 합니다.

기본 Layer 3/4 보호로 충분하고 WAF를 사용하여 직접 Layer 7을 처리할 수 있다면 Standard를 선택하십시오. 가용성 보장, 공격 가시성, 비용 보호, 자동 Layer 7 완화, 전문가 지원이 필요하다면 Advanced를 선택하십시오. 일반적으로 수익에 중요한 워크로드나 고도로 주목받는 워크로드에 적합합니다.

여러 계정에 걸쳐 AWS Firewall Manager를 사용하면 조직 전체의 리소스에 Shield Advanced 보호 기능과 WAF 정책을 중앙에서 적용할 수 있습니다. 따라서 각 팀이 리소스를 직접 등록하지 않아도 새 리소스에 DDoS 보호가 자동으로 적용됩니다. 이는 대규모 환경의 거버넌스에 큰 도움이 됩니다.

Shield 티어를 구분해 보십시오.

Shield Standard는 무료로 자동 적용되며 일반적인 Layer 3/4 공격을 보호합니다. 유료인 Shield Advanced는 거의 실시간에 가까운 공격 가시성, 등록된 보호된 리소스, 자동 Layer 7 완화 기능이 포함된 무료 WAF 통합, DDoS 비용 보호 크레딧, Shield Response Team 접근 권한을 추가로 제공합니다. Firewall Manager는 조직 전체에 Advanced 및 WAF 정책을 적용하여 중앙 집중식 거버넌스를 지원합니다.