Shield Advanced ルールグループによるアプリケーションレイヤーの保護

フォーカスモード

Shield Advanced ルールグループによるアプリケーションレイヤーの保護 - AWS WAF、 AWS Firewall Manager、および AWS Shield Advanced

このページでは、ウェブ ACL での Shield Advanced ルールグループの仕組みについて説明します。

Shield Advanced は、所有および管理するルールグループ内のルールを使用して、自動緩和アクティビティを管理します。Shield Advanced は、保護されたリソースに関連付けたウェブ ACL 内のルールを使用してルールグループを参照します。

ウェブ ACL におけるルールグループルール

ウェブ ACL の Shield Advanced ルールグループルールには、次のプロパティがあります。

[Name] (名前) – ShieldMitigationRuleGroup_account-id_web-acl-id_unique-identifier
[Web ACL capacity units (WCU)] (ウェブ ACL キャパシティーユニット (WCU)) – 150。これらの WCU は、ウェブ ACL 内の WCU の使用量に対してカウントされます。

Shield Advanced は、優先度設定が 10,000,000 のウェブ ACL にこのルールを作成します。これにより、ウェブ ACL の他のルールとルールグループが、の優先順位が最も低いウェブ ACL のルール AWS WAF を実行した後に実行されます。ウェブ ACL の管理中に、この優先順位の設定が変更される場合があります。

自動緩和機能は、ウェブ ACL のルールグループによって使用される WCU を除き、アカウント内の追加の AWS WAF リソースを消費しません。例えば、Shield Advanced ルールグループは、アカウントのルールグループの 1 つとしてカウントされません。のアカウント制限の詳細については AWS WAF、「」を参照してくださいAWS WAF クォータ。

ルールグループ内のルール

参照先の Shield Advanced ルールグループ内では、Shield Advanced が DDoS 攻撃のソースであることが判明している IP アドレスからのリクエストの量を制限するレートベースのルール ShieldKnownOffenderIPRateBasedRule を維持します。このルールは常にルールグループに存在し、トラフィックパターンの分析に頼らずに攻撃を封じ込めるため、あらゆる攻撃に対する防御の最前線として機能します。このルールのアクションは、ルールグループの他のルールと同様に、自動緩和策で選択したアクションに設定されます。レートベースルールの詳細については、「でのレートベースのルールステートメントの使用 AWS WAF」を参照してください。

注記

レートベースのルール ShieldKnownOffenderIPRateBasedRule の動きは、Shield Advanced イベント検出とは無関係です。自動緩和が有効になっている間、このルールレートは DDoS 攻撃のソースとして知られている IP アドレスを制限します。これらの IP アドレスの場合、ルールのレート制限により、攻撃を防止し、Shield Advanced 検出情報に攻撃が表示されないようにすることができます。このトレードオフは、攻撃パターンを完全に可視化するよりも防止を優先します。

上記の永久レートベースのルールに加えて、ルールグループには、Shield Advanced が現在 DDoS 攻撃を軽減するために使用しているすべてのルールが含まれます。Shield Advanced は、必要に応じてこれらのルールを追加、変更、削除します。詳細については、Shield Advanced が自動緩和を管理する方法を参照してください。