はじめに

AWS上のDDoS攻撃に対するセキュリティ技術を勉強するために以下の公式ドキュメントおよび研修を参考にしたので内容をまとめます。

背景

本記事はAWSソリューションアーキテクトプロフェッショナルに合格するために、Udemyの模擬試験を解いて分からなかった部分を勉強してまとめるものです。

試験対策用のため、分からない知識を補足したり試験で問われなさそうなところを省略したりしながらまとめています。
なるべくわかりやすい記載を心がけますが、最終目的は自己学習用であるということをご容赦ください。

複数のソースを使用してウェブサイトやアプリケーションに負荷をかけ、正当なエンドユーザーのアクセスを妨害する攻撃。
Distributed Denial of Service attack（分散型サービス拒否攻撃）の略。

|#|レイヤー|アプリケーション|攻撃の例|
|--|--|--|--|--|
|7|アプリケーション|データ|HTTPフラッド、DNSクエリフラッド|
|6|プレゼンテーション|データ|SSLの悪用|
|4|トランスポート|セグメント|SYNフラッド|
|3|ネットワーク|パケット|UDPリフレクション攻撃|

#	サービス	概要
BP1	CroudFront Global Accelerater	正しい形式の接続のみ受け入れ、攻撃がオリジンに到達できないようにする。
BP2	WAF	ウェブACLルールと関連付けることで送信元IPをブロックする
BP3	Route53	・シャッフルシャーディング機能により、ネームサーバーが利用不可となった場合に別のエッジロケーションでネームサーバに再試行する。・anycastストライピングによりDNSを最適な場所で処理させる。・DNSクエリの送信元と量から、信頼できるユーザからのリクエストを優先する。
BP4	APIGateway	AWSのコンポーネントをパブリックアクセスから隠す
BP5	ネットワークACL セキュリティグループ	許可された送信元のアクセスのみに限定する
BP6	ELB	正しい形式のTCP接続のみを受け入れる。
BP7	EC2	Auto Scalingによりパフォーマンスを向上させる。

CloudWatch：正常な動作を追跡、把握し、DDoS攻撃を識別する。
VPCフローログ：ネットワークトラフィックの異常を識別する。
AWS GuardDuty：AWS上の操作や動作をモニタリングし、セキュリティ上の脅威を検出する。
AWS Shield：DDos攻撃からウェブサイトを保護する。
AWS Shield Standard：CroudFrontやRoute53でTCPのレイヤー3,4に対する既知の攻撃から保護する。
AWS Shield Advanced：Standardに加えEC2等でも、レイヤー3,4,7に対する攻撃から保護する。リアルタイム通知およびAWSから24時間365日のサポートを受けられる。