Utforme for motstandsdyktighet mot DDoS

Det sterkeste DDoS-forsvaret er en robust arkitektur, ikke en reaksjon i siste liten. Ved å plassere globale edge-tjenester foran arbeidsbelastningene, minimere den eksponerte angrepsflaten og skalere elastisk lar De AWS absorbere flodbølger før de når opprinnelsen. Shield og WAF håndterer deretter resten.

CloudFront leverer innhold fra hundrevis av edge-lokasjoner med stor samlet kapasitet, og sprer volumetriske flodbølger over nettverket. Når CloudFront plasseres foran applikasjonen, treffer angrepstrafikken først den robuste edge-infrastrukturen, som automatisk beskyttes av Shield Standard.

Route 53, AWS' DNS-tjeneste, er bygget på et globalt distribuert og svært robust anycast-nettverk som absorberer angrep på DNS-laget. Når De bruker den for domenene Deres, kombinert med helsekontroller for failover, forblir navneoppslag tilgjengelige selv under angrep, og helsedata sendes til Shield Advanced.

AWS Global Accelerator tilbyr statiske anycast-IP-adresser som ruter brukere til det nærmeste friske endepunktet via AWS-stammenettet. Dette forbedrer tilgjengeligheten og gir, i likhet med CloudFront, en stor og beskyttet edge-flate som bidrar til å absorbere angrep og rute rundt dem for arbeidsbelastninger som ikke bruker HTTP.

Reduser det angripere kan nå. Plasser instanser i private subnett, eksponer bare lastbalansere og unngå offentlige Elastic IP-adresser der det er mulig. Jo færre endepunkter som kan nås direkte, desto færre mål kan et DDoS-angrep treffe, og desto mer trafikk må gå gjennom beskyttede edge-tjenester.

Automatisk skalering og elastiske tjenester lar Dem legge til kapasitet for å absorbere en flodbølge i stedet for å bryte sammen under den. Kombinert med kostnadsbeskyttelsen i Shield Advanced blir skalering et gjennomførbart forsvar uten løpsk kostnadsøkning. Tilstandsløse design som kan skaleres horisontalt, håndterer trafikkøkninger langt bedre enn design med fast kapasitet.

For flodbølger på applikasjonslaget kan De koble WAF med hastighetsbaserte regler til CloudFront eller ALB, slik at misbrukende kilder begrenses ved edge. Dette håndterer flodbølger av tilsynelatende gyldige forespørsler som Shield-beskyttelse basert på volum ikke kan stoppe, og fullfører forsvaret i flere lag.

Sørg for at angripere ikke kan omgå edge-infrastrukturen ved å treffe opprinnelsen direkte. Begrens sikkerhetsgruppene for opprinnelsen til CloudFront IP-områder eller kontroller en hemmelig header fra CloudFront, og ikke publiser DNS-navnene til opprinnelsen. Hvis opprinnelsen er tilgjengelig, kan alle edge-forsvarstiltakene Deres omgås.

Konfigurer Route 53-helsekontroller og failover på tvers av tilgjengelighetssoner eller regioner, slik at trafikken flyttes til en frisk bane hvis én bane blir svekket. Helsebasert ruting forbedrer både robustheten og, når den er koblet til Shield Advanced, deteksjonen av angrep og proaktiv kontakt med SRT.

Sett opp CloudWatch-alarmer for antall forespørsler, ventetid og feilrater for å oppdage angrep tidlig, og se gjennom Shield-konsollen for angrepsdata. Tidlig deteksjon gjør at automatiske begrensningstiltak og, hvis De abonnerer på tjenesten, SRT kan reagere før angrepet fører til et fullstendig driftsavbrudd.

Et robust mønster er: Route 53 til CloudFront (eller Global Accelerator) til WAF til en regional ALB, med opprinnelser i private subnett, automatisk skalering, Shield Advanced-registrering og låst ned opprinnelse. Hvert lag absorberer eller filtrerer en del av angrepet og realiserer dybdeforsvar for tilgjengelighet.

DDoS-robusthet må bygges inn i arkitekturen: Plasser arbeidsbelastninger bak CloudFront, Route 53 og Global Accelerator for å absorbere flodbølger ved edge, reduser angrepsflaten med private subnett, og bruk automatisk skalering for å absorbere belastningen. Legg til WAF-hastighetsbaserte regler for lag 7, beskytt opprinnelsen mot omgåelse, konfigurer helsekontroller for failover, og opprett varsler for trafikkavvik slik at angrep oppdages tidlig.