Blogより)」を日本語に訳した記事です。Service(DoS)は、単一の攻撃者によって実行される攻撃です。攻撃者は、Webサイトやアプリケーションをエンドユーザーが使用できないようにしようとします。Service(DDoS)は、複数の攻撃者が共同作業者のグループによって制御または侵害された攻撃であり、正当なエンドユーザーが利用できないようにアプリケーションに要求が氾濫します。効果的な攻撃ベクトルとターゲットを最小限に抑えるモニタリングと保護が難しいAWS仮想プライベートクラウド(VPC)を使用して戦略を達成できます論理的に分離された仮想ネットワークをAWS内で定義するのに役立つパブリック&プライベートサブネットを作成し、それに応じてインターネットに直面しているインスタンスと非公開になるインスタンスを起動する機能を提供するプライベートサブネット内のインスタンスがパブリックIPを持つパブリックサブネットでそれらを起動する必要なくインターネットにアクセスできるようにするNATゲートウェイを提供するプライベートサブネット内のインスタンスに接続するために使用できるBastionホストを作成できるファイアウォールとして機能するサブネット用のインスタンスおよびNACLのセキュリティグループを構成して、送信および受信トラフィックを制御および制限する機能を提供する攻撃を吸収するためにスケールする準備DDOSは主に、負荷を処理できず、使用不能になるまでシステムをロードすることをターゲットにしています。スケールアウトのメリット弾力のあるアーキテクチャを構築するのに役立つ攻撃者をより困難にさせる思考し、分析し、適応する時間を与えるAWSが提供するサービスオートスケーリング&ELBELBによるオートスケーリングを使用した水平スケーリングオートスケーリングを使用すると、需要の変化に応じてインスタンスを追加および削除することができるELBは、複数のEC2インスタンスにトラフィックを配信し、単一のコンタクトポイントとして機能するオートスケーリングは、スケールアウト時およびイベントのスケーリング時に自動的にEC2インスタンスをELBに登録および登録解除するEC2インスタンス垂直スケーリングは、例えば、適切なEC2インスタンスタイプを使用することによって達成することができる。最適化されたEBS、または負荷を処理するために10ギガバイトのネットワーク接続を持つもの。CloudFrontCloudFrontはCDNで、エンドユーザーとOriginサーバー間のプロキシとして機能し、Originサーバーにトラフィックを送信せずにエンドユーザーにコンテンツを配布するのに役立ちます。CloudFrontには、複数の場所にトラフィックを分散させることで、インフラストラクチャとアプリケーション層のDDoS攻撃の両方を緩和するための固有の機能があります。AWSには、各場所での容量と冗長性のための複数のインターネット接続があり、正当なエンドユーザにコンテンツを提供しながら攻撃トラフィックを隔離することができます。CloudFrontには、有効なTCP接続とHTTP要求のみが行われ、無効な要求が破棄されるようにするフィルタリング機能もあります。これは、無効なトラフィック(通常、UDP&SYNフラッドで使用され、遅い読み込み)を起点にして処理する負担がかかります。Route53DDoS攻撃もまた、DNSを対象としています.DNSが利用できない場合、あなたのアプリケーションは効果的に利用できません。53は、高可用性とスケーラビリティを備えたDNSサービスであり、DDoS攻撃を受けている場合でもアプリケーションへのアクセスを保証します。シャッフルシャーディングは、データの水平パーティションを別々のデータベースサーバーに分散して負荷を分散し、冗長性を提供するデータベースシャーディングの概念に似ています。53はシャッフルシャーディングを使用して多数のPoP上でDNS要求を分散し、アプリケーションに複数のパスとルートを提供します。Anyキャストルーティングは、複数のPoPから同じIPアドレスをアドバタイズすることで冗長性を高めます。DDoS攻撃が1つのエンドポイントを圧倒した場合、シャッフルシャーディングは障害を分離し、インフラストラクチャへの追加ルートを提供します。Identityを使用してコンテンツへのアクセスを制限できます。使用すると、ホワイトリストに登録された国のセットにアクセスを制限したり、ブラックリストに載っている国のセットからのアクセスを禁止することができます。S3がCloudFrontの起点である場合、S3はOAIからのアクセスのみを許可し、したがって直接アクセスを拒否するように設定できますRoute53Route53は、インフラストラクチャの拡張とDDoS攻撃への対応を容易にするために、AliasレコードセットとプライベートDNSの2つの機能を提供しますWAFWAFは、Webトラフィックに一連のルールを適用するフィルタとして機能します。GETまたはPOSTの洪水を緩和することによってDDoSに対する回復力を構築するのにも役立ちます。WAFはたくさんの機能を提供しています。OWASPトップ10HTTPレート制限(1つのタイムフレームで、特定の数の要求のみがユーザーごとに許可されます)ホワイトリストまたはブラックリスト(カスタマイズ可能なルール)異常なパターンのリクエストを検査して識別しますCAPTCHAなどWAFが単一障害点にならないように、オートスケールWAFがインターネットと内部ロードバランサの間に位置するWAFサンドイッチパターンを実装できます正常な動作について学習するアプリケーションの通常の通常のレベルとトラフィックのパターンを理解し、それをトラフィックまたはリソースのスパイクパターンの異常レベルを特定するためのベンチマークとして使用します。利点1つは異常を発見することができます。正確なしきい値でアラームを設定します。フォレンジックデータの生成を支援します。CloudWatchの監視CloudWatchを使用すると、AWSで実行されているインフラストラクチャとアプリケーションを監視できます。CloudWatchは、メトリック、ログファイルを収集し、これらのメトリックが所定のしきい値を超えたときのアラームを設定できます。FlowlogFlowlogは、VPC内のインスタンスへのトラフィックを取得するのに役立ち、パターンを理解するために使用できます攻撃に対する計画を作成する攻撃を受ける前に計画を立てておくこと。アーキテクチャを検証し、インフラストラクチャにとって有効な手法を選択する。弾力性を高めるためのコストを評価し、防御の目標を理解する。攻撃が発生したときの連絡先を明確にする。質問はインターネットから収集され、答えは自分の知識と理解に基づいてマークされます(これはあなたと異なる場合があります)。AWSサービスは毎日更新され、回答と質問はすぐに時代遅れになる可能性がありますので、それに応じて調査してください。AWSのアップデートのペースを追うためにAWS試験の質問は更新されないため、基礎となる機能が変更されても質問が更新されないことがあります。さらなるフィードバック、ディスカッション、修正を可能にします。あなたはソーシャルメディアサイトを設計しており、分散型サービス拒否(DDoS)攻撃を軽減する方法を検討しています。interface)を追加して、ネットワーク帯域幅を拡大します。専用インスタンスを使用して、各インスタンスが最大のパフォーマンスを発揮できるようにします。CloudFrontディストリビューションを使用します。Service(RDS)層で使用します。CloudWatchを追加して高いネットワークインとCPU使用率を探りましょう。インスタンスOSファイアウォールにルールを迅速に追加および削除するためのプロセスと機能を作成します。非常に大規模な電子商取引サイトのセキュリティの全体的な姿勢を向上させるためにあなたは雇われています。彼らは、WebとApp層の前で、S3から直接提供される静的資産を持つELBを使用する、VPCで動作するうまく構築された多層アプリケーションを持っています。彼らは動的データにRDSとDynamoDBの組み合わせを使用しており、夜間にS3にアーカイブしてEMRによる処理をさらに進めています。彼らは疑問のあるログエントリを見つけ、誰かが不正なアクセスを試みている疑いがあるため、懸念しています。DirectConnect接続を確立し、そのスペースにインターネット接続を確立し、ハードウェアのWebアプリケーションファイアウォール(WAF)でトラフィックをフィルタすることを推奨します。DirectConnect接続を介してトラフィックをVPCで動作するアプリケーションに渡します。NACLとしてWeb層サブネットに追加します。(新しい発信元から保護されない)ホストベースのWAFを実行する新しいELBおよび自動スケーリンググループのEC2インスタンスを作成して、WAF層を追加します。彼らはルート53を新しいWAF層ELBに解決するようにリダイレクトします。WAF層はトラフィックを現在のWeb層に渡します。Groupからのトラフィックのみを許可するように更新されます。Filteringを有効にするこれにより、ELB自体がWAF機能を実行できるようになります。