AWS Shield logika mitigasi untuk CloudFront dan Rute 53

CloudFront— DDoS Mitigasi Shield hanya memungkinkan lalu lintas yang valid untuk aplikasi web untuk melewati layanan. Ini memberikan perlindungan otomatis terhadap banyak DDoS vektor umum, seperti serangan UDP refleksi.

CloudFront mempertahankan koneksi persisten ke asal aplikasi Anda, TCP SYN banjir secara otomatis dikurangi melalui integrasi dengan fitur TCP SYN proxy Shield, dan Transport Layer Security (TLS) dihentikan di edge. Fitur gabungan ini memastikan bahwa asal aplikasi Anda hanya menerima permintaan web yang terbentuk dengan baik dan dilindungi dari DDoS serangan lapisan bawah, banjir koneksi, dan penyalahgunaan. TLS

CloudFront menggunakan kombinasi arah DNS lalu lintas dan perutean anycast. Teknik-teknik ini meningkatkan ketahanan aplikasi Anda dengan mengurangi serangan yang dekat dengan sumbernya, memberikan isolasi kesalahan, dan memastikan akses ke kapasitas untuk mengurangi serangan terbesar yang diketahui.

Route 53 - Mitigasi Shield hanya mengizinkan DNS permintaan yang valid untuk mencapai layanan. Shield mengurangi banjir DNS kueri menggunakan penilaian kecurigaan yang memprioritaskan kueri baik yang diketahui dan tidak memprioritaskan kueri yang berisi atribut serangan yang mencurigakan atau diketahui. DDoS

Route 53 menggunakan sharding shuffle untuk menyediakan satu set unik dari empat alamat IP resolver ke setiap zona yang dihosting, untuk keduanya dan. IPv4 IPv6 Setiap alamat IP sesuai dengan subset yang berbeda dari lokasi Route 53. Setiap subset lokasi terdiri dari DNS server otoritatif yang hanya sebagian tumpang tindih dengan infrastruktur di subset lainnya. Ini memastikan bahwa jika kueri pengguna gagal karena alasan apa pun, itu akan berhasil disajikan pada percobaan ulang.

Route 53 menggunakan perutean anycast untuk mengarahkan DNS kueri ke lokasi tepi terdekat, berdasarkan kedekatan jaringan. Anycast juga DDoS menggemari lalu lintas ke banyak lokasi tepi, yang mencegah serangan berfokus pada satu lokasi.