Shield Standard a Shield Advanced

AWS Shield jest dostępny w dwóch poziomach. Shield Standard jest bezpłatny i domyślnie włączony dla wszystkich; Shield Advanced to płatna subskrypcja zapewniająca rozszerzoną ochronę, widoczność, pomoc techniczną i zabezpieczenia finansowe. Dokładne zrozumienie zakresu każdego poziomu jest ważnym tematem egzaminacyjnym.

Shield Standard automatycznie i bezpłatnie chroni wszystkich klientów AWS przed najczęstszymi atakami w warstwie 3 i warstwie 4. Nie wymaga konfiguracji i jest zawsze aktywny, szczególnie skutecznie chroniąc zasoby znajdujące się za CloudFront i Route 53. Jest to podstawowy poziom ochrony, który ma już każde konto.

Shield Advanced to płatny poziom (obejmujący znaczne miesięczne zobowiązanie oraz opłaty za dane), który rozszerza Standard o dokładniejsze wykrywanie, skuteczniejsze ograniczanie większych ataków, ochronę kosztów i dostęp do specjalistów. Jest przeznaczony dla organizacji, w których dostępność ma krytyczne znaczenie biznesowe lub które często stają się celem ataków.

Advanced zapewnia widoczność ataków niemal w czasie rzeczywistym za pośrednictwem konsoli Shield i szczegółowych metryk, a także wykrywanie oparte na kondycji, które wykorzystuje testy kondycji aplikacji Route 53 do szybszego wykrywania ataków i ograniczania liczby wyników fałszywie dodatnich. Standard nie udostępnia tak szczegółowych informacji o atakach.

W przypadku Advanced należy jawnie objąć ochroną określone zasoby: dystrybucje CloudFront, strefy hostowane Route 53, Global Accelerator, elastyczne adresy IP oraz moduły Application lub Classic Load Balancer. Zarejestrowanie zasobów odblokowuje dla nich zaawansowane mechanizmy ograniczania ataków i raportowanie, podczas gdy Standard zapewnia ochronę szeroką, ale mniej szczegółową.

Shield Advanced integruje się z AWS WAF bez dodatkowych opłat za WAF dla chronionych zasobów, dzięki czemu można wdrażać reguły WAF ograniczające ataki DDoS w warstwie aplikacji bez ponoszenia osobnych opłat za WAF. Ta ścisła integracja jest jednym z głównych powodów wyboru Advanced w celu zapewnienia odporności w warstwie 7.

Advanced może automatycznie tworzyć i stosować reguły WAF podczas ataku w warstwie aplikacji, jeśli włączono automatyczne ograniczanie ataków. Usługa tworzy model bazowy normalnego ruchu i opracowuje reguły oparte na limicie szybkości lub reguły blokujące, aby odrzucać ruch atakujący, a następnie usuwa je, gdy atak słabnie, skracając czas wymaganej ręcznej reakcji.

Jedną z wyróżniających korzyści planu Advanced jest ochrona kosztów przed DDoS: AWS przyznaje kredyty usługowe na opłaty za skalowanie (dodatkowe użycie EC2, ELB, CloudFront i Route 53) poniesione w wyniku udokumentowanego ataku DDoS na chronione zasoby. Chroni to Państwa przed niespodziewanymi rachunkami spowodowanymi skalowaniem wywołanym atakiem.

Plan Advanced zapewnia dostęp do Shield Response Team (SRT) — ekspertów AWS ds. DDoS, którzy pomagają podczas aktywnych ataków. Po uzyskaniu odpowiedniej autoryzacji mogą oni zastosować środki zaradcze w Państwa imieniu. Klienci planu Standard nie otrzymują takiego bezpośredniego wsparcia i polegają wyłącznie na automatycznych mechanizmach obrony.

Proszę wybrać Standard, gdy wystarcza domyślna ochrona warstw 3/4, a obsługą warstwy 7 mogą Państwo zająć się samodzielnie za pomocą WAF. Proszę wybrać Advanced, gdy potrzebują Państwo gwarantowanej dostępności, wglądu w ataki, ochrony kosztów, automatycznego ograniczania ataków w warstwie 7 oraz pomocy ekspertów — zazwyczaj w przypadku obciążeń krytycznych dla przychodów lub o wysokim profilu.

W przypadku wielu kont usługa AWS Firewall Manager może centralnie stosować zabezpieczenia Shield Advanced i zasady WAF do zasobów w całej organizacji. Dzięki temu nowe zasoby automatycznie otrzymują ochronę przed DDoS, bez konieczności ręcznego dołączania ich przez poszczególne zespoły. To duża korzyść w zakresie zarządzania dla dużych środowisk.

Proszę rozróżnić poziomy Shield.

Shield Standard jest bezpłatny, automatyczny i chroni przed typowymi atakami w warstwach 3/4. Płatny Shield Advanced dodaje niemal rzeczywisty wgląd w ataki, zapisane chronione zasoby, bezpłatną integrację z WAF wraz z automatycznym ograniczaniem ataków w warstwie 7, kredyty w ramach ochrony kosztów przed DDoS oraz dostęp do Shield Response Team. Firewall Manager stosuje zasady Advanced i WAF w całej organizacji, zapewniając scentralizowane zarządzanie.