Shield Standard 与 Shield Advanced

AWS Shield 分为两个层级。Shield Standard免费并面向所有人启用；Shield Advanced是付费订阅服务，可提供增强的保护、可见性、支持和财务保障。准确了解每个层级覆盖的内容，是考试中非常重要的高价值主题。

Shield Standard会免费自动保护所有 AWS 客户，抵御最常见的第 3 层和第 4 层攻击。它无需设置并始终处于活动状态，对于位于 CloudFront 和 Route 53 之后的资源尤其有效。这是每个账户都已经拥有的基础保护。

Shield Advanced是付费层级（需要支付较高的月度承诺费用及数据费用），在 Standard 的基础上提供更深入的检测、更大规模的攻击缓解、成本保护以及专家支持。它面向可用性对业务至关重要或经常成为攻击目标的组织。

Advanced 通过 Shield 控制台和详细指标提供攻击的近实时可见性，还提供基于运行状况的检测：利用您的应用程序 Route 53 运行状况检查更快发现攻击并减少误报。Standard 不会提供如此详细的攻击信息。

使用 Advanced 时，您可以明确保护特定资源：CloudFront 分配、Route 53 托管区域、Global Accelerator、弹性 IP，以及应用程序或经典负载均衡器。为资源注册保护后，便可为其启用高级缓解功能和报告；而 Standard 的应用范围更广，但保护较为基础。

对于受保护的资源，Shield Advanced 可与 AWS WAF 集成且无需额外支付 WAF 费用，因此您可以部署 WAF 规则来缓解应用层 DDoS，而无需单独支付 WAF 费用。这种紧密集成是选择 Advanced 来实现第 7 层弹性的关键原因。

启用自动缓解后，Advanced 可以在应用层攻击期间自动创建并应用 WAF 规则。它会建立正常流量基线，并生成基于速率的规则或阻止规则来削减攻击流量；攻击减弱后再移除这些规则，从而减少人工响应时间。

Advanced 的一项突出优势是DDoS 成本保护：对于受保护资源因有记录的 DDoS 事件而产生的扩展费用（额外的 EC2、ELB、CloudFront、Route 53 使用量），AWS 会提供服务抵扣金。这可以避免因攻击触发扩展而产生意外账单。

Advanced 可让您联系 Shield 响应团队（SRT）。该团队由 AWS DDoS 专家组成，可在攻击进行期间提供帮助。获得适当授权后，他们可以代表您实施缓解措施。Standard 客户无法获得这种人工支持，只能依靠自动防御。

当默认的第 3/4 层防护已经足够，并且您可以自行使用 WAF 处理第 7 层时，请选择 Standard。当您需要可用性保障、攻击可见性、成本保护、自动第 7 层缓解和专家协助时，请选择 Advanced，这通常适用于收入关键型或高知名度工作负载。

在多个账户中，AWS 防火墙管理器可以集中为整个组织的资源应用 Shield Advanced 防护和 WAF 策略。这样，新资源会自动获得 DDoS 防护，无需每个团队手动为其注册，这对大型环境的治理非常有利。

区分 Shield 的不同层级。

Shield Standard 免费、自动启用，可防护常见的第 3/4 层攻击。Shield Advanced 需要付费，并增加近实时攻击可见性、已注册的受保护资源、免费的 WAF 集成及自动第 7 层缓解、DDoS 成本保护抵扣金，以及Shield 响应团队访问权限。防火墙管理器可在整个组织范围内应用 Advanced 和 WAF 策略，实现集中式治理。