Projektowanie odporności na DDoS

Najskuteczniejszą ochroną przed DDoS jest odporna architektura, a nie reakcja w ostatniej chwili. Umieszczając obciążenia za globalnymi usługami brzegowymi, ograniczając powierzchnię ataku i stosując elastyczne skalowanie, pozwalają Państwo AWS absorbować zalew ruchu, zanim dotrze on do źródła. Shield i WAF obsługują następnie pozostałą część ruchu.

CloudFront dostarcza treści z setek lokalizacji brzegowych o ogromnej łącznej przepustowości, rozpraszając zalew ruchu wolumetrycznego w całej sieci. Umieszczenie CloudFront przed aplikacją sprawia, że ruch ataku najpierw trafia do odpornej warstwy brzegowej, która jest automatycznie chroniona przez Shield Standard.

Route 53, usługa DNS firmy AWS, jest oparta na globalnie rozproszonej, wysoce odpornej sieci anycast, która absorbuje ataki na warstwę DNS. Korzystanie z niej dla domen, w połączeniu z kontrolami kondycji na potrzeby przełączania awaryjnego, utrzymuje dostępność rozpoznawania nazw nawet podczas ataku i przekazuje dane o kondycji do Shield Advanced.

AWS Global Accelerator zapewnia statyczne adresy IP anycast, które kierują użytkowników do najbliższego sprawnego punktu końcowego przez szkielet sieci AWS. Zwiększa dostępność i, podobnie jak CloudFront, udostępnia dużą, chronioną powierzchnię brzegową, która pomaga absorbować ataki na obciążenia inne niż HTTP i kierować ruch z ich pominięciem.

Należy ograniczyć to, do czego mogą dotrzeć atakujący. Umieszczajcie Państwo instancje w prywatnych podsieciach, udostępniajcie wyłącznie load balancery i w miarę możliwości unikajcie publicznych adresów Elastic IP. Im mniej bezpośrednio dostępnych punktów końcowych, tym mniej celów może zaatakować DDoS i tym większa część ruchu musi przejść przez chronione usługi brzegowe.

Automatyczne skalowanie i usługi elastyczne pozwalają dodawać moc, aby absorbować zalew ruchu zamiast załamać się pod jego naporem. W połączeniu z ochroną kosztów Shield Advanced skalowanie staje się realnym mechanizmem obrony bez niekontrolowanego wzrostu rachunków. Projekty bezstanowe i skalowalne horyzontalnie znacznie lepiej obsługują nagłe wzrosty niż rozwiązania o stałej przepustowości.

W przypadku zalewu na poziomie aplikacji należy dołączyć WAF z regułami opartymi na limicie szybkości do CloudFront lub ALB, aby ograniczać nadużycia ze strony źródeł już na brzegu sieci. Rozwiązanie to obsługuje zalewy żądań wyglądających na prawidłowe, których wolumetryczna ochrona Shield nie może wykryć, uzupełniając wielowarstwową ochronę.

Należy uniemożliwić atakującym ominięcie warstwy brzegowej przez bezpośredni dostęp do źródła. Proszę ograniczyć grupy zabezpieczeń źródła do zakresów adresów IP CloudFront lub weryfikować tajny nagłówek CloudFront, a nazwy DNS źródła pozostawić niepubliczne. Jeśli źródło jest dostępne, wszystkie zabezpieczenia brzegowe można ominąć.

Należy skonfigurować kontrole kondycji Route 53 oraz przełączanie awaryjne między strefami dostępności lub regionami, aby w razie pogorszenia działania jednej ścieżki ruch został przekierowany do sprawnej. Routing oparty na kondycji zwiększa odporność, a po połączeniu z Shield Advanced poprawia wykrywanie ataków i proaktywne zaangażowanie SRT.

Należy skonfigurować alarmy CloudWatch dla liczby żądań, opóźnień i współczynników błędów, aby wcześnie wykrywać ataki, oraz przeglądać konsolę Shield w celu analizy telemetrii ataku. Wczesne wykrycie pozwala automatycznym mechanizmom zaradczym, a w przypadku subskrypcji także SRT, zareagować, zanim atak doprowadzi do całkowitej awarii.

Odporny schemat: Route 53 do CloudFront (lub Global Accelerator), następnie WAF, regionalny ALB, źródła w prywatnych podsieciach, automatyczne skalowanie, rejestracja w Shield Advanced i blokada dostępu do źródła. Każda warstwa absorbuje lub filtruje część ataku, realizując zasadę obrony warstwowej na rzecz dostępności.

Proszę wybrać odporny wariant projektu.

Odporność na DDoS należy zaprojektować: umieścić obciążenia za usługami CloudFront, Route 53 i Global Accelerator, aby absorbować zalew ruchu na brzegu, zmniejszyć powierzchnię ataku za pomocą prywatnych podsieci oraz użyć automatycznego skalowania do absorpcji obciążenia. Należy dodać reguły WAF oparte na limicie szybkości dla warstwy 7, chronić źródło przed ominięciem zabezpieczeń, skonfigurować kontrole kondycji na potrzeby przełączania awaryjnego i ustawić alarmy dla anomalii ruchu w celu wczesnego wykrywania.