Downloaded 80 times
Uploaded byAmazon Web Services Japan
AWS Shieldのご紹介 Managed DDoS Protection
2016/12/21 AWS Shieldのご紹介 Managed DDoS Protection Introduction to the Service: December 21, 2016
More Related Content
![[AWS Builders] AWS 네트워크 서비스 소개 및 사용 방법 - 김기현, AWS 솔루션즈 아키텍트](https://cdn.slidesharecdn.com/ss_thumbnails/1network-191112092246-thumbnail.jpg?width=640&height=640&fit=bounds)
Similar to AWS Shieldのご紹介 Managed DDoS Protection
![[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介](https://cdn.slidesharecdn.com/ss_thumbnails/20220126-anti-220126190603-thumbnail.jpg?width=640&height=640&fit=bounds)
AWS Shieldのご紹介 Managed DDoS Protection
- 1. © 2016, AmazonWeb Services, Inc. or its Affiliates. All rights reserved. Introduction to the Service: December 21, 2016 アマゾンウェブサービスジャパン 技術本部 シニアマネージャー プリンシパルソリューションアーキテクト 荒木靖宏 （yasuarak@amazon.co.jp) AWS Shieldのご紹介 Managed DDoS Protection
- 2.
- 3.
- 4.
- 5.
- 6. DDoS攻撃の種別 State-exhaustion DDoS attacks TCPSYN flood等。 ファイヤウォールや、IPS,ロードバランサ などの状態を管理しなければならないプ ロトコルに負荷をかける
- 7.
- 8. DDoS攻撃の種別 Volumetric State exhaustionApplication layer 65% Volumetric 20% State exhaustion 15% Application layer
- 9. DDoS攻撃の種別 Volumetric State exhaustionApplication layer SSDP reflectionが一番多い 反射攻撃はSignatureが明確だが、 トラフィックは一番使う 65% Volumetric 20% State exhaustion 15% Application layer
- 10. DDoS攻撃の種別 Volumetric State exhaustionApplication layer 65% Volumetric 20% State exhaustion 15% Application layer他に頻回に観測されるもの: NTP reflection, DNS reflection, Chargen reflection, SNMP reflection
- 12. DDoS攻撃の種別 Volumetric State exhaustionApplication layer SYN floods は実際の接続としての 振る舞いに見える 平均ボリュームは大きく、 実際のユー ザーが接続を確立できなくする 65% Volumetric 20% State exhaustion 15% Application layer
- 13. DDoS攻撃の種別 Volumetric State exhaustionApplication layer DNSクエリ溢れは、リアルなDNSリクエスト 数時間に渡り続けることで、DNSサーバのリソー ス枯渇させることができる 65% Volumetric 20% State exhaustion 15% Application layer
- 14. DDoS攻撃の種別 Volumetric State exhaustionApplication layer 65% Volumetric 20% State exhaustion 15% Application layer 他に頻回に観測されるもの: HTTP GET flood, Slowloris
- 15.
- 16.
- 17.
- 18.
- 19.
- 20. AWS approach to DDoSprotection
- 21.
- 22.
- 23. 一般的なインフラストラクチャ 攻撃に対する保護 SYN/ ACK flood、UDP flood、 反射攻撃など 追加費用なし DDoS mitigation systems DDoS Attack Users DDoS防御はAWSに予め組み込まれている
- 24.
- 25. AWS Shield A ManagedDDoS Protection Service
- 26. AWS Shield Standard ProtectionAdvanced Protection 全てのAWSユーザに 適用 無料 より大規模な、より洗練された 攻撃からの防御を提供する 有料のサービス
- 27.
- 28. AWS Shield Standard Layer3/4 protection よくある攻撃（SYN/UDPフ ラッド、反射攻撃等）からの 防御 自動検知＆自動緩和 AWSサービスにビルトイン 済 Layer 7 protection Layer 7のDDoS攻撃への 緩和はAWS WAFで行う セルフサービス 使った分だけの支払い
- 29. AWS Shield Standard AWSでアプリケーションを動かすことで得るもの プロプライエタリのBlackWatchシステムをつかった緩和策追 加 緩和のためのキャパシティ追加 検知と緩和を継続的に改善する 追加コスト無し
- 30. AWS Shield Advanced ManagedDDoS Protection
- 31.
- 32. AWS Shield Advanced ApplicationLoad Balancer Classic Load Balancer Amazon CloudFront Amazon Route 53 現在提供中のサービス
- 33. AWS Shield Advanced Always-onmonitoring & detection Advanced L3/4 & L7 DDoS protection Attack notification and reporting 24x7 access to DDoS Response Team AWS bill protection
- 34.
- 35.
- 36. Advanced DDoS protection Layer7 application protection Layer 3/4 infrastructure protection
- 37. Layer 3/4 infrastructureprotection 決定論的フィル タリング スコアリングに基づくトラ フィックの優先順位付け 高度なルーティング ポリシー 高度な軽減技術の採用
- 38. Layer 3/4 infrastructureprotection 不正な形式のTCPパケットを自動 的にフィルタリング IP checksum TCP valid flags UDP ペイロード長 DNS 要求の検証 決定論的フィルタリング
- 39.
- 40. Layer 3/4 infrastructureprotection • インライン検査とスコアリング • 優先度の低い（攻撃）トラフィックを優先的に破棄 • 偽陽性は回避され、正当な利用は保護 High-suspicion packets dropped Low-suspicion packets retained スコアリングに基づくトラフィックの優先順位付け
- 41. Layer 3/4 infrastructureprotection 分散スクラビングと余裕をもった帯域幅 大規模な攻撃を吸収する自動ルーティン グポリシー 手動トラフィックエンジニアリング 大規模で洗練されたDDoS攻撃のための 追加の容量をインラインを提供 高度なルーティングポリシー
- 42. Advanced DDoS protection Layer7 Application protection Layer 3/4 Infrastructure protection
- 43. AWS WAF –Layer 7 application protection カスタムルールによ るWebトラフィック フィルタ 悪意のあるリクエス トのブロック アクティブな監視と チューニング
- 44. AWS WAF –Layer 7 application protection Self-service DDoSエキスパートによ る対応 積極的なDRTの関与 運用は3形態
- 45. AWS WAF –Layer 7 application protection AWS WAFが追加費用な しで含まれます Self-service
- 46. 1. AWS DDoSResponse Team (DRT)を依頼 2. DRTは攻撃に優先度を付ける 3. DRTは、AWS WAFルールの作成を支援 AWS WAF – Layer 7 application protection DDoS エキスパートによる対応
- 47. AWS WAF –Layer 7 application protection 1. Always-OnモニタリングがDRTを呼び出す 2. DRTが積極的に分類（トリアージ） 3. DRTがAWS WAFルールを作成（事前承認 が必要です） 積極的なDRT関与
- 48. 攻撃通知とレポート Attack monitoring and detection CloudWatchを経由してリアルタイム通知 ニアリアルタイムメトリクスと攻撃のフォレンジクスのため のパケットキャプチャ 時系列の攻撃レポート
- 49. 24x7でのDDoS Response Teamへのアクセス クリティカルで緊急の優先順位のケースは すぐに回答され、DDoSの専門家に直接 ルーティングされます 複雑なケースは、AWSだけでなく、 Amazon.comやその子会社の保護に深い経験 を持つAWSDDoS Response Team（DRT）に エスカレーションすることができます
- 50. 24x7でのDDoS Response Teamへのアクセス BeforeAttack コンサルテーションとベスト プラクティス提供 During Attack 攻撃からの緩和 After Attack 事後分析
- 51. AWS cost protection DDoS攻撃によるスケーリングコスト は請求しません •Amazon CloudFront • Elastic Load Balancer • Application Load Balancer • Amazon Route 53
- 52. No commitment No additional cost AWS DDoS Shield: 価格 1年の利用コミット 月額費用: $3,000 ＋Data transfer fees Data Transfer Price ($ per GB) CloudFront ELB First 100 TB $0.025 0.050 Next 400 TB $0.020 0.040 Next 500 TB $0.015 0.030 Next 4 PB $0.010 Contact Us Above 5 PB Contact Us Contact Us Standard Protection Advanced Protection
- 53. 一般的なDDoS攻撃から 保護し、AWS上でDDoS に強いアーキテクチャを 構築するためのツールと ベストプラクティスを提供 AWS DDoS Shield:使い分け 大規模で洗練された攻撃 に対するさらなる防御、攻 撃に対する可視性、複雑 なケースでのDDoSエキ スパートへの24時間365 日のアクセスを提供 Standard Protection Advanced Protection