Сравнение Shield Standard и Shield Advanced

AWS Shield доступен в двух уровнях. Shield Standard бесплатен и включён для всех; Shield Advanced — платная подписка, которая добавляет усиленную защиту, видимость, поддержку и финансовые гарантии. Точное понимание возможностей каждого уровня — важная тема на экзамене.

Shield Standard автоматически и бесплатно защищает всех клиентов AWS от наиболее распространённых атак на уровнях 3 и 4. Настройка не требуется, служба всегда активна и особенно эффективна для ресурсов за CloudFront и Route 53. Это базовая защита, которая уже есть в каждом аккаунте.

Shield Advanced — платный уровень (значительная ежемесячная плата плюс плата за данные), который расширяет возможности Standard, добавляя более глубокое обнаружение, более эффективное снижение риска атак, защиту от затрат и доступ к специалистам. Он предназначен для организаций, для которых доступность критична для бизнеса или которые часто становятся целями атак.

Advanced предоставляет почти оперативную видимость атак через консоль Shield и подробные метрики, а также обнаружение на основе состояния работоспособности. Для более быстрого выявления атак и уменьшения количества ложных срабатываний оно использует проверки работоспособности приложения в Route 53. Standard не предоставляет такой уровень подробностей об атаках.

С Advanced вы явно защищаете определённые ресурсы: дистрибутивы CloudFront, размещённые зоны Route 53, Global Accelerator, эластичные IP-адреса, а также Application или Classic Load Balancers. Регистрация ресурсов открывает для них расширенные меры защиты и отчётность, тогда как Standard применяется широко, но предоставляет менее глубокую защиту.

Shield Advanced интегрируется с AWS WAF без дополнительной платы за WAF для защищённых ресурсов, поэтому вы можете разворачивать правила WAF для снижения риска DDoS на уровне приложения без отдельных платежей за WAF. Такая тесная интеграция — одна из ключевых причин выбора Advanced для обеспечения устойчивости на уровне 7.

При включённой автоматической защите Advanced может автоматически создавать и применять правила WAF во время атаки на уровне приложения. Служба формирует базовую модель обычного трафика и создаёт правила ограничения частоты или блокировки для отсева атакующего трафика, а затем удаляет их после ослабления атаки, сокращая время ручного реагирования.

Одно из главных преимуществ Advanced — защита от расходов при DDoS-атаках: AWS предоставляет сервисные кредиты для покрытия затрат на масштабирование (дополнительное использование EC2, ELB, CloudFront и Route 53), возникших из-за документированной DDoS-атаки на защищённые ресурсы. Это защищает Вас от неожиданных счетов, вызванных масштабированием из-за атаки.

Advanced предоставляет доступ к команде реагирования Shield (SRT) — экспертам AWS по DDoS-атакам, которые помогают во время активных атак. При наличии необходимых разрешений они могут применять меры защиты от Вашего имени. Клиенты Standard не получают такой практической поддержки и могут полагаться только на автоматические средства защиты.

Выбирайте Standard, если стандартной защиты на уровнях 3 и 4 достаточно, а защиту на уровне 7 Вы можете самостоятельно обеспечить с помощью WAF. Выбирайте Advanced, если Вам нужны гарантированная доступность, видимость атак, защита от расходов, автоматическая защита на уровне 7 и помощь экспертов — обычно для критически важных для дохода или широко известных рабочих нагрузок.

В среде с множеством учётных записей AWS Firewall Manager может централизованно применять защиту Shield Advanced и политики WAF к ресурсам всей организации. Благодаря этому новые ресурсы автоматически получают защиту от DDoS-атак, и каждой команде не нужно подключать их вручную. Это особенно полезно для управления крупной инфраструктурой.

Shield Standard бесплатен, работает автоматически и защищает от распространённых атак на уровнях 3 и 4. Shield Advanced является платным и добавляет видимость атак почти в реальном времени, подключённые защищённые ресурсы, бесплатную интеграцию с WAF и автоматическую защиту на уровне 7, кредиты в рамках защиты от расходов при DDoS-атаках, а также доступ к команде реагирования Shield. Firewall Manager применяет политики Advanced и WAF ко всей организации, обеспечивая централизованное управление.