Shield Standard versus Shield Advanced

O AWS Shield está disponível em dois níveis. O Shield Standard é gratuito e está ativado para todos; o Shield Advanced é uma assinatura paga que acrescenta proteção, visibilidade, suporte e salvaguardas financeiras aprimorados. Saber exatamente o que cada nível cobre é um tema de alta importância no exame.

O Shield Standard protege automaticamente todos os clientes da AWS contra os ataques mais comuns das camadas 3 e 4, sem cobrança. Não requer configuração e está sempre ativo, sendo especialmente eficaz para recursos atrás do CloudFront e do Route 53. É a proteção básica que toda conta já possui.

O Shield Advanced é um nível pago (com um compromisso mensal substancial, além de tarifas de dados) que amplia o Standard com detecção mais profunda, mitigação de ataques de maior porte, proteção de custos e acesso a especialistas. Ele é destinado a organizações cuja disponibilidade é essencial para os negócios ou que são alvos frequentes.

O Advanced acrescenta visibilidade quase em tempo real dos ataques por meio do console do Shield e de métricas detalhadas, além de detecção baseada na integridade que usa as verificações de integridade da aplicação no Route 53 para identificar ataques mais rapidamente e reduzir falsos positivos. O Standard não oferece esse nível de detalhes sobre os ataques.

Com o Advanced, você protege explicitamente recursos específicos: distribuições do CloudFront, zonas hospedadas do Route 53, Global Accelerator, endereços IP elásticos e Application ou Classic Load Balancers. A inscrição dos recursos libera as mitigações avançadas e os relatórios para eles, enquanto o Standard se aplica de forma ampla, mas superficial.

O Shield Advanced integra-se ao AWS WAF sem cobrança adicional pelo WAF para recursos protegidos, permitindo implantar regras do WAF para mitigar DDoS na camada de aplicação sem tarifas separadas do WAF. Essa integração estreita é uma das principais razões para escolher o Advanced para obter resiliência na camada 7.

O Advanced pode criar e aplicar regras do WAF automaticamente durante um ataque na camada de aplicação quando você habilita a mitigação automática. Ele estabelece uma linha de base do tráfego normal e cria regras baseadas em taxa ou de bloqueio para eliminar o tráfego do ataque, removendo-as quando o ataque diminui e reduzindo o tempo de resposta manual.

Um benefício de destaque do nível Avançado é a proteção contra custos de DDoS: a AWS fornece créditos de serviço para as cobranças de escalabilidade (uso adicional de EC2, ELB, CloudFront e Route 53) geradas por um evento de DDoS documentado em recursos protegidos. Isso protege você contra cobranças inesperadas causadas pela escalabilidade decorrente de ataques.

O nível Avançado concede acesso à equipe de resposta do Shield (SRT), formada por especialistas da AWS em DDoS que ajudam durante ataques em andamento. Com a autorização adequada, eles podem aplicar mitigações em seu nome. Os clientes do nível Padrão não recebem esse suporte prático e dependem apenas das defesas automatizadas.

Escolha o nível Padrão quando a proteção padrão das camadas 3 e 4 for suficiente e você puder lidar com a camada 7 usando o WAF. Escolha o nível Avançado quando precisar de disponibilidade garantida, visibilidade dos ataques, proteção contra custos, mitigação automática na camada 7 e assistência especializada, normalmente para cargas de trabalho críticas para a receita ou de grande visibilidade.

Em várias contas, o AWS Firewall Manager pode aplicar centralmente as proteções do Shield Avançado e as políticas do WAF aos recursos de toda a organização. Isso garante que novos recursos recebam automaticamente proteção contra DDoS, sem que cada equipe precise cadastrá-los manualmente, uma vantagem de governança para ambientes de grande escala.

Diferencie os níveis do Shield.

O Shield Padrão é gratuito, automático e cobre ataques comuns nas camadas 3 e 4. O Shield Avançado é pago e acrescenta visibilidade dos ataques quase em tempo real, recursos protegidos cadastrados, integração gratuita com o WAF com mitigação automática na camada 7, créditos de proteção contra custos de DDoS e acesso à equipe de resposta do Shield. O Firewall Manager aplica políticas do Avançado e do WAF em toda a organização para oferecer governança centralizada.