目的
AWSでDDoSどうしたらいいのか検討したくて、AWS Best Practices for DDoS Resiliencyを読んで見ました。その感想を書きます
2022/4/13の版をみています。
感想など
序章
AWSで適切にサービスを選べばDDoS攻撃を緩和できるとあります。まさに自分が読みたい内容です。
あなたはWell-Arcitectedですか？
Well-Arcitectedを知っておくといいですよという紹介。今は時間が無いので後回しにします。
サービス拒否攻撃入門
DoSの概要説明です。OSI7層に分けて色々な攻撃があるとあります。
インフラ層攻撃
UDPリフレクション攻撃
UDPの送信元IPを攻撃したいサーバーのものに設定して無関係なサーバーを反射鏡のように利用して大きなパケットを返す攻撃だそうです。これは自分のサーバーで頑張って防御するのが難しそうです。
SYNフロッド攻撃
TCPの初回接続、いわゆる3ウェイハンドシェイクでSYNを送けどACKを送らないことでサーバーのACK待ちの状態にしてメモリなどを食いつぶす攻撃です。これも守るのが難しい。
アプリケーション層攻撃
アプリケーション層の攻撃は様々のようです。
HTTPフラッド攻撃、キャッシュ無効化攻撃、WordpressXMLRPCフラッド攻撃
緩和テクニック
全てのAWSのサービスにはAWS Shield Standardがついているので一般的で頻繁なインフラ層攻撃は防いでもらえるようです。無料で！
CloudFrontとGlobalAcceleratorとRoute53は既知のインフラ層攻撃は守ってくれるようです。
アプリケーション層攻撃に対してはAWS WAFを使えばよいとのこと
インバウンドのネットワークは無料だしDDoSの攻撃トラフィックは無料
そして、ベストプラクティスの構成の表
AWS Shield Advanstを使うとお金取るけどもっと色々やってくれるとのこと
ベストプラクティスDDoS緩和
インフラ層防御
AWSは基本的には防ぐけど、EC2ではネットワークは広いし拡張できるので安心です。
EC2オートスケーリング
ロードバランサー協調して防ぐし、オートスケールがあればサービスが止まらないとのこと。まあお金がかかりそうですね。
ELB
ELBを使えば負荷が分散できる
ELBはスケールするから負荷をさばける
セキュリティグループ
セキュリティグループを使えば受けつけないIPアドレスを設定できる
スケールのためにエッジローケーションを使う
CloudFrontとGlobalAcceleratorとRoute53はエッジごとにわかれて、DDoS緩和するので良い
エッジでWebアプリケーションを配信
CloudFrontはDDoSからオリジンを保護してくれる。S3を使っている人はCloudFrontを使おう
Global Acceleratorを使ってオリジンからネットワークトラフィックを更に保護する
CloudFrontが使えない場合、こちらを使いましょう
エッジでドメイン名解決
Route53を使えば問題無し
アプリケーション層防御
悪意のあるWebアクセスを発見して防ぐ
CloudFrontとAWS WAFを使いましょう。
CloudFrontでエッジごとにアクセスしてくれるのと不要なアクセスは防いでくれる。遅いアクセスは遮断してくれる
WAFを使うとおかしな動きをするIPアドレスを止められるし、マーケットプレイスでIPアドレスをさらに防ぐルールが売ってます
WAFはキャッシュ無効化攻撃も防いでくれる
自動的にアプリケーション層のDDoSイベントを防ぐ
AWS Shield AdvanctやAWS Firewall Managerを使えばもっと防げる
攻撃面の減少
外部にさらす部分を減らしていく
AWSリソースの難読化
EC2はインターネットに公開しなくてもロードバランサーとセキュリティグループを使えばアクセスできます。
セキュリティグループはただ。
セキュリティグループとネットワークACL
セキュリティグループは後からでも付けられます。つければ暗黙的に全てのアクセスを拒否します。
ELBのセキュリティグループを作成して、EC2複数のセキュリティグループを作成して接続すれば、EC2を隠せます。
ネットワークACLを使えばIPアドレス制限ができます
AWS Shiled アドバンストに入ればEIPを登録できて早めにDDoSを検知できます。
オリジンの保護
VPC内のオリジンはCloudFrontを使うとx-shared-secrtというヘッダーでCloudFront経由かどうかわかる。
Lambdaを使うことで、CloudFrontのみのアクセスを許可するセキュリティグループを設定できます。CloudFrontとWAFをバイパスすることできなくなります。
APIエンドポイントの保護
APIもDDoSの対象になるので緩和するためにはAPI Gatewayを使う。
EC2やLambdaの入り口にAPI Gatewayを使えば難読化できてDDoSが緩和できます。
API Gatewayは2種類あって1つはCloudFrontディストリビューションを介してアクセスされるエッジ最適化エンドポイント。
2つ目はREST APIと同じリージョンにするリージョンAPIエンドポイント。こちらはCloudFrontとWAFを使えます。
x-api-keyを使うとAPI Gatewayの直接アクセスを防ぎます
バーストレートを指定することで、負荷を防ぎます
オプションのテクニック
異常な動作の可視化、アラートの自動化、大規模な保護などオプションの話をします。
可視性
CloudWatchで見ることができる。AWS Shieldアドバンストならもっと見れる
複数のアカウントにわたる可視性と保護の管理
複数のアカウントにわたるような場合、AWS ShieldアドバンストとAWS Firewall ManagerとAWS Security Hubを使って管理する。
サポート
サポートに相談すれば支援する。AWS Shieldアドバンストならもっと早く対応できるよう。
まとめ
この資料を読めばDDoSの回復に役にたつ。
AWS Shieldアドバンストなら(以下略)
この資料のまとめ
DDoS対策のおおまかな情報を得られました。
基本的にはAWS WAFとCloudFrontを全面に置いて、保護していけばよさそうです。
AWS Shieldアドバンストの圧が強かったですが、コスト見合いなら入れてもいいかもです。