Lógica de mitigación AWS Shield para CloudFront y Route 53

CloudFront: las mitigaciones de Shield DDoS solo permiten que el tráfico válido para aplicaciones web pase al servicio. Esto proporciona protección automática contra muchos de los vectores de DDoS más comunes, como los ataques de reflexión UDP.

CloudFront mantiene conexiones persistentes con el origen de su aplicación, las inundaciones de TCP SYN se mitigan automáticamente mediante la integración con la característica de proxy TCP SYN de Shield y la Seguridad de la Capa de Transporte (TLS) termina en la periferia. Estas características combinadas garantizan que el origen de su aplicación solo reciba solicitudes web bien formadas y que esté protegida contra ataques DDoS de capa inferior, inundaciones de conexiones y abuso de TLS.

CloudFront utiliza una combinación de dirección de tráfico DNS y enrutamiento anycast. Estas técnicas mejoran la resiliencia de su aplicación al mitigar los ataques cerca del origen, aislar las fallas y garantizar el acceso a la capacidad necesaria para mitigar los ataques más grandes conocidos.

Route 53: las mitigaciones de Shield solo permiten que las solicitudes de DNS válidas lleguen al servicio. Shield mitiga las inundaciones de consultas de DNS mediante una puntuación de sospecha que prioriza las consultas que se sabe que son seguras y deja de priorizar las consultas que contienen atributos de ataque DDoS sospechosos o conocidos.

Route 53 utiliza la partición aleatoria para proporcionar un conjunto único de cuatro direcciones IP de resolución para cada zona alojada, tanto para IPv4 como para IPv6. Cada dirección IP corresponde a un subconjunto diferente de ubicaciones de Route 53. Cada subconjunto de ubicaciones consta de servidores DNS autorizados que solo se superponen parcialmente con la infraestructura de cualquier otro subconjunto. Esto garantiza que si la consulta de un usuario falla por cualquier motivo, se atenderá correctamente al volver a intentarlo.

Route 53 usa el enrutamiento anycast para dirigir las consultas de DNS a la ubicación periférica más cercana, en función de la proximidad de la red. Anycast también distribuye el tráfico DDoS a muchas ubicaciones periféricas, lo que evita que los ataques se centren en una sola ubicación.