Projetando para Resiliência contra DDoS

A defesa mais forte contra DDoS é uma arquitetura resiliente, não uma reação de última hora. Ao colocar serviços globais de borda à frente das cargas de trabalho, reduzir a superfície exposta e escalar elasticamente, você permite que a AWS absorva as inundações antes que elas alcancem sua origem. O Shield e o WAF lidam então com o restante.

O CloudFront fornece conteúdo a partir de centenas de locais de borda com enorme capacidade agregada, diluindo inundações volumétricas pela rede. Colocar o CloudFront na frente da sua aplicação faz com que o tráfego do ataque atinja primeiro a borda resiliente, que é protegida automaticamente pelo Shield Padrão.

O Route 53, serviço de DNS da AWS, é baseado em uma rede anycast globalmente distribuída e altamente resiliente, que absorve ataques à camada de DNS. Usá-lo para seus domínios, combinado com verificações de integridade para failover, mantém a resolução de nomes disponível mesmo sob ataque e fornece dados de integridade ao Shield Avançado.

O AWS Global Accelerator fornece endereços IP anycast estáticos que encaminham os usuários ao endpoint íntegro mais próximo pela rede principal da AWS. Ele melhora a disponibilidade e, assim como o CloudFront, apresenta uma grande superfície de borda protegida que ajuda a absorver ataques e redirecionar o tráfego de cargas de trabalho que não usam HTTP.

Reduza o que os invasores podem alcançar. Coloque as instâncias em sub-redes privadas, exponha somente balanceadores de carga e evite IPs elásticos públicos sempre que possível. Quanto menos endpoints diretamente acessíveis você tiver, menos alvos um DDoS poderá atingir e mais tráfego terá de passar por serviços de borda protegidos.

O escalonamento automático e os serviços elásticos permitem adicionar capacidade para absorver uma inundação, em vez de entrar em colapso. Combinado com a proteção contra custos do Shield Avançado, o escalonamento se torna uma defesa viável sem cobranças descontroladas. Designs sem estado e horizontalmente escaláveis lidam muito melhor com picos do que designs de capacidade fixa.

Para inundações na camada da aplicação, associe o WAF com regras baseadas em taxa ao CloudFront ou ao seu ALB, para que as fontes abusivas sejam limitadas na borda. Isso lida com inundações de solicitações que parecem válidas e que a proteção do Shield baseada em volume não consegue tratar, completando a defesa em várias camadas.

Garanta que os invasores não possam contornar a borda acessando sua origem diretamente. Restrinja os grupos de segurança da origem aos intervalos de IP do CloudFront ou verifique um cabeçalho secreto do CloudFront e mantenha os nomes DNS da origem não publicados. Se a origem estiver acessível, todas as suas defesas de borda poderão ser contornadas.

Configure verificações de integridade do Route 53 e failover entre várias AZs ou regiões para que, se um caminho se degradar, o tráfego seja transferido para um caminho íntegro. O roteamento baseado em integridade melhora a resiliência e, quando vinculado ao Shield Avançado, aprimora a detecção de ataques e o acionamento proativo da SRT.

Configure alarmes do CloudWatch para contagens de solicitações, latência e taxas de erro a fim de detectar ataques antecipadamente, e examine o console do Shield para consultar a telemetria dos ataques. A detecção antecipada permite que as mitigações automáticas e, se contratado, a SRT atuem antes que o ataque cause uma interrupção completa.

Um padrão resiliente: Route 53 para CloudFront (ou Global Accelerator), para WAF, para um ALB regional, com origens em sub-redes privadas, escalonamento automático, Shield Avançado cadastrado e bloqueio da origem. Cada camada absorve ou filtra parte do ataque, concretizando a defesa em profundidade para garantir a disponibilidade.

Escolha a opção de design resiliente.

A resiliência contra DDoS é projetada na arquitetura: coloque as cargas de trabalho à frente do CloudFront, Route 53 e Global Accelerator para absorver inundações na borda, reduza a superfície de ataque com sub-redes privadas e use o escalonamento automático para absorver a carga. Acrescente regras do WAF baseadas em taxa para a camada 7, proteja a origem contra desvios, configure verificações de integridade para failover e crie alarmes para anomalias de tráfego para obter detecção antecipada.