Проектирование устойчивости к DDoS

Самая надёжная защита от DDoS-атак — это отказоустойчивая архитектура, а не срочная реакция в последний момент. Размещая рабочие нагрузки за глобальными периферийными сервисами, уменьшая открытую поверхность атаки и обеспечивая эластичное масштабирование, Вы позволяете AWS поглощать потоки трафика до того, как они достигнут исходного сервера. Shield и WAF затем обрабатывают оставшуюся часть.

CloudFront обслуживает содержимое из сотен периферийных расположений с огромной совокупной пропускной способностью, распределяя объёмные потоки по сети. Размещение CloudFront перед приложением означает, что атакующий трафик сначала попадает на отказоустойчивую периферию, которую Shield Standard защищает автоматически.

Route 53, служба DNS от AWS, построена на глобально распределённой и высокоотказоустойчивой сети anycast, которая поглощает атаки на уровне DNS. Использование этой службы для доменов в сочетании с проверками работоспособности для переключения при отказе сохраняет доступность разрешения имён даже во время атаки и передаёт данные о состоянии в Shield Advanced.

AWS Global Accelerator предоставляет статические IP-адреса anycast, направляющие пользователей к ближайшей работоспособной конечной точке через магистральную сеть AWS. Он повышает доступность и, подобно CloudFront, предоставляет большую защищённую периферийную поверхность, которая помогает поглощать атаки на рабочие нагрузки, не использующие HTTP, и перенаправлять трафик в обход них.

Сократите область, доступную злоумышленникам. Размещайте экземпляры в частных подсетях, открывайте только балансировщики нагрузки и по возможности избегайте общедоступных эластичных IP-адресов. Чем меньше конечных точек доступно напрямую, тем меньше целей может поразить DDoS-атака и тем больше трафика будет проходить через защищённые периферийные сервисы.

Автоматическое масштабирование и эластичные сервисы позволяют добавлять мощности, чтобы поглощать поток трафика, а не разрушаться под его воздействием. В сочетании с защитой от расходов Shield Advanced масштабирование становится практичным средством защиты без неконтролируемого роста счетов. Архитектуры без состояния с горизонтальным масштабированием намного лучше обрабатывают всплески, чем архитектуры с фиксированной ёмкостью.

Для потоков на уровне приложения подключите WAF с правилами на основе ограничения частоты к CloudFront или ALB, чтобы ограничивать злоупотребляющие источники на периферии. Это позволяет обрабатывать потоки внешне корректных запросов, с которыми объёмная защита Shield не справляется, завершая многоуровневую защиту.

Не позволяйте злоумышленникам обходить периферию, обращаясь непосредственно к исходному серверу. Ограничьте группы безопасности исходного сервера диапазонами IP-адресов CloudFront или проверяйте секретный заголовок CloudFront, а имена DNS исходного сервера не публикуйте. Если исходный сервер доступен, все средства защиты на периферии можно обойти.

Настройте проверки работоспособности Route 53 и переключение между несколькими AZ или Region, чтобы при ухудшении состояния одного пути трафик переходил на работоспособный. Маршрутизация с учётом состояния повышает отказоустойчивость и при связывании с Shield Advanced улучшает обнаружение атак и проактивное взаимодействие с SRT.

Настройте оповещения CloudWatch по количеству запросов, задержке и частоте ошибок, чтобы рано обнаруживать атаки, и проверяйте в консоли Shield телеметрию атак. Раннее обнаружение позволяет автоматическим мерам защиты и, при наличии подписки, SRT начать работу до того, как атака вызовет полный отказ.

Пример отказоустойчивого шаблона: Route 53 → CloudFront (или Global Accelerator) → WAF → региональный ALB, при этом исходные серверы находятся в частных подсетях, включено автоматическое масштабирование, ресурсы подключены к Shield Advanced, а доступ к исходному серверу ограничен. Каждый уровень поглощает или фильтрует часть атаки, реализуя многоуровневую защиту доступности.

Отказоустойчивость к DDoS-атакам закладывается в архитектуру: размещайте рабочие нагрузки за CloudFront, Route 53 и Global Accelerator, чтобы поглощать потоки на периферии, уменьшайте поверхность атаки с помощью частных подсетей и используйте автоматическое масштабирование для поглощения нагрузки. Добавьте правила WAF на основе ограничения частоты для уровня 7, защитите исходный сервер от обхода, настройте проверки работоспособности для переключения и создайте оповещения об аномалиях трафика для раннего обнаружения.