AWS Shield Advanced logique d'atténuation pour les applications Web

AWS Shield Advanced les usages AWS WAF pour atténuer les attaques au niveau de la couche applicative Web. AWS WAF est inclus dans Shield Advanced sans frais supplémentaires.

Protection standard de la couche d'application

Lorsque vous protégez une CloudFront distribution Amazon ou une Application Load Balancer avec Shield Advanced, vous pouvez utiliser Shield Advanced pour associer un AWS WAF Web ACL avec votre ressource protégée, si vous n'en avez pas déjà une associée. Si vous n'avez pas encore configuré de site WebACL, vous pouvez utiliser l'assistant de console Shield Advanced pour en créer un et y ajouter une règle basée sur le taux. Une règle basée sur le taux limite le nombre de demandes par fenêtre de cinq minutes pour chaque adresse IP, fournissant ainsi des protections de base contre les inondations de demandes au niveau de la couche application Web. Vous pouvez configurer le taux en commençant par 10. Pour de plus amples informations, veuillez consulter Shield Advanced, couche applicative, règles basées AWS WAF sur ACLs le Web et les taux.

Vous pouvez également utiliser AWS WAF service de gestion du WebACL. À travers AWS WAF, vous pouvez étendre la ACL configuration Web pour notamment inspecter des composants de requêtes Web spécifiques pour détecter des correspondances ou des modèles de chaînes, ajouter une gestion personnalisée des demandes et des réponses et les comparer à la géolocalisation de l'origine de la demande. Pour plus d'informations sur AWS WAF règles, voirUtilisation AWS WAF rules.

Atténuation automatique des couches applicatives

Pour une protection améliorée, activez l'atténuation automatique de la couche d'application Shield Advanced. Avec cette option, Shield Advanced gère un AWS WAF règle de limitation du débit pour les demandes provenant de DDoS sources connues et fournit des mesures d'atténuation personnalisées en cas d'DDoSattaques détectées.

Lorsque Shield Advanced détecte une attaque contre une ressource protégée, il tente d'identifier une signature d'attaque qui isole le trafic d'attaque du trafic normal vers votre application. Shield Advanced évalue la signature d'attaque identifiée par rapport aux modèles de trafic historiques pour la ressource attaquée, ainsi que pour toute autre ressource associée au même site WebACL.

Si Shield Advanced détermine que la signature de l'attaque isole uniquement le trafic impliqué dans l'DDoSattaque, il implémente la signature dans AWS WAF règles au sein du site Web associéACL. Vous pouvez demander à Shield Advanced de mettre en place des mesures d'atténuation qui ne prennent en compte que le trafic auquel il correspond ou qui le bloque, et vous pouvez modifier le paramètre à tout moment. Lorsque Shield Advanced détermine que ses règles d'atténuation ne sont plus nécessaires, il les supprime du WebACL. Pour plus d'informations sur l'atténuation des événements au niveau de la couche application, consultezShield Advanced : atténuation automatique des attaques DDoS au niveau de la couche applicative.

Pour plus d'informations sur les mesures d'atténuation de la couche d'application Shield Advanced, consultezAWS Shield Advanced protections de la couche d'application (couche 7).