AWS Shieldのご紹介 Managed DDoS Protection
•
6 recomendaciones•14,701 vistas
2016/12/21 AWS Shieldのご紹介 Managed DDoS Protection Introduction to the Service: December 21, 2016
Recomendados
Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (20)
Destacado
Destacado (8)
Similar a AWS Shieldのご紹介 Managed DDoS Protection
Similar a AWS Shieldのご紹介 Managed DDoS Protection (11)
Más de Amazon Web Services Japan
Más de Amazon Web Services Japan (20)
Último
Último (12)
AWS Shieldのご紹介 Managed DDoS Protection
- 1. © 2016, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Introduction to the Service: December 21, 2016 アマゾンウェブサービスジャパン 技術本部 シニアマネージャー プリンシパルソリューションアーキテクト 荒木靖宏 （yasuarak@amazon.co.jp) AWS Shieldのご紹介 Managed DDoS Protection
- 3. DDoSとは？ Distributed Denial Of Service
- 4. DDoS攻撃の種別
- 6. DDoS攻撃の種別 State-exhaustion DDoS attacks TCP SYN flood等。 ファイヤウォールや、IPS,ロードバランサ などの状態を管理しなければならないプ ロトコルに負荷をかける
- 7. DDoS攻撃の種別 Application-layer DDoS attacks 一見、適切に構成されているが悪意 のある要求を使用して、アプリケー ションリソースを消費する 例えば、HTTP GET、DNSクエリフ ラッド
- 8. DDoS攻撃の種別 Volumetric State exhaustion Application layer 65% Volumetric 20% State exhaustion 15% Application layer
- 9. DDoS攻撃の種別 Volumetric State exhaustion Application layer SSDP reflectionが一番多い 反射攻撃はSignatureが明確だが、 トラフィックは一番使う 65% Volumetric 20% State exhaustion 15% Application layer
- 10. DDoS攻撃の種別 Volumetric State exhaustion Application layer 65% Volumetric 20% State exhaustion 15% Application layer他に頻回に観測されるもの: NTP reflection, DNS reflection, Chargen reflection, SNMP reflection
- 12. DDoS攻撃の種別 Volumetric State exhaustion Application layer SYN floods は実際の接続としての 振る舞いに見える 平均ボリュームは大きく、 実際のユー ザーが接続を確立できなくする 65% Volumetric 20% State exhaustion 15% Application layer
- 13. DDoS攻撃の種別 Volumetric State exhaustion Application layer DNSクエリ溢れは、リアルなDNSリクエスト 数時間に渡り続けることで、DNSサーバのリソー ス枯渇させることができる 65% Volumetric 20% State exhaustion 15% Application layer
- 14. DDoS攻撃の種別 Volumetric State exhaustion Application layer 65% Volumetric 20% State exhaustion 15% Application layer 他に頻回に観測されるもの: HTTP GET flood, Slowloris
- 15. DDoS攻撃を緩和する取り組み
- 19. DDoS攻撃の緩和における課題
- 20. AWS approach to DDoS protection
- 23. 一般的なインフラストラクチャ 攻撃に対する保護 SYN / ACK flood、UDP flood、 反射攻撃など 追加費用なし DDoS mitigation systems DDoS Attack Users DDoS防御はAWSに予め組み込まれている
- 25. AWS Shield A Managed DDoS Protection Service
- 26. AWS Shield Standard Protection Advanced Protection 全てのAWSユーザに 適用 無料 より大規模な、より洗練された 攻撃からの防御を提供する 有料のサービス
- 28. AWS Shield Standard Layer 3/4 protection よくある攻撃（SYN/UDPフ ラッド、反射攻撃等）からの 防御 自動検知＆自動緩和 AWSサービスにビルトイン 済 Layer 7 protection Layer 7のDDoS攻撃への 緩和はAWS WAFで行う セルフサービス 使った分だけの支払い
- 29. AWS Shield Standard AWSでアプリケーションを動かすことで得るもの プロプライエタリのBlackWatchシステムをつかった緩和策追 加 緩和のためのキャパシティ追加 検知と緩和を継続的に改善する 追加コスト無し
- 30. AWS Shield Advanced Managed DDoS Protection
- 32. AWS Shield Advanced Application Load Balancer Classic Load Balancer Amazon CloudFront Amazon Route 53 現在提供中のサービス
- 33. AWS Shield Advanced Always-on monitoring & detection Advanced L3/4 & L7 DDoS protection Attack notification and reporting 24x7 access to DDoS Response Team AWS bill protection
- 36. Advanced DDoS protection Layer 7 application protection Layer 3/4 infrastructure protection
- 37. Layer 3/4 infrastructure protection 決定論的フィル タリング スコアリングに基づくトラ フィックの優先順位付け 高度なルーティング ポリシー 高度な軽減技術の採用
- 38. Layer 3/4 infrastructure protection 不正な形式のTCPパケットを自動 的にフィルタリング IP checksum TCP valid flags UDP ペイロード長 DNS 要求の検証 決定論的フィルタリング
- 39. 疑わしくない 通常のパケット、リクエストヘッダ ソーストラフィックの内容、量は典 型的 デスティネーションが適切 疑わしい 疑わしいパケットまたは要求ヘッダー ヘッダ属性によるトラフィックのエントロピー トラフィックソースとボリュームでエントロピー トラフィックソースの評判が悪い 宛先に無効なトラフィック キャッシュ無効化属性によるリクエスト Layer 3/4 infrastructure protection スコアリングに基づくトラフィックの優先順位付け
- 40. Layer 3/4 infrastructure protection • インライン検査とスコアリング • 優先度の低い（攻撃）トラフィックを優先的に破棄 • 偽陽性は回避され、正当な利用は保護 High-suspicion packets dropped Low-suspicion packets retained スコアリングに基づくトラフィックの優先順位付け
- 41. Layer 3/4 infrastructure protection 分散スクラビングと余裕をもった帯域幅 大規模な攻撃を吸収する自動ルーティン グポリシー 手動トラフィックエンジニアリング 大規模で洗練されたDDoS攻撃のための 追加の容量をインラインを提供 高度なルーティングポリシー
- 42. Advanced DDoS protection Layer 7 Application protection Layer 3/4 Infrastructure protection
- 43. AWS WAF – Layer 7 application protection カスタムルールによ るWebトラフィック フィルタ 悪意のあるリクエス トのブロック アクティブな監視と チューニング
- 44. AWS WAF – Layer 7 application protection Self-service DDoSエキスパートによ る対応 積極的なDRTの関与 運用は3形態
- 45. AWS WAF – Layer 7 application protection AWS WAFが追加費用な しで含まれます Self-service
- 46. 1. AWS DDoS Response Team (DRT)を依頼 2. DRTは攻撃に優先度を付ける 3. DRTは、AWS WAFルールの作成を支援 AWS WAF – Layer 7 application protection DDoS エキスパートによる対応
- 47. AWS WAF – Layer 7 application protection 1. Always-OnモニタリングがDRTを呼び出す 2. DRTが積極的に分類（トリアージ） 3. DRTがAWS WAFルールを作成（事前承認 が必要です） 積極的なDRT関与
- 48. 攻撃通知とレポート Attack monitoring and detection CloudWatchを経由してリアルタイム通知 ニアリアルタイムメトリクスと攻撃のフォレンジクスのため のパケットキャプチャ 時系列の攻撃レポート
- 49. 24x7でのDDoS Response Teamへのアクセス クリティカルで緊急の優先順位のケースは すぐに回答され、DDoSの専門家に直接 ルーティングされます 複雑なケースは、AWSだけでなく、 Amazon.comやその子会社の保護に深い経験 を持つAWS DDoS Response Team（DRT）に エスカレーションすることができます
- 50. 24x7でのDDoS Response Teamへのアクセス Before Attack コンサルテーションとベスト プラクティス提供 During Attack 攻撃からの緩和 After Attack 事後分析
- 51. AWS cost protection DDoS攻撃によるスケーリングコスト は請求しません • Amazon CloudFront • Elastic Load Balancer • Application Load Balancer • Amazon Route 53
- 52. No commitment No additional cost AWS DDoS Shield: 価格 1年の利用コミット 月額費用: $3,000 ＋Data transfer fees Data Transfer Price ($ per GB) CloudFront ELB First 100 TB $0.025 0.050 Next 400 TB $0.020 0.040 Next 500 TB $0.015 0.030 Next 4 PB $0.010 Contact Us Above 5 PB Contact Us Contact Us Standard Protection Advanced Protection
- 53. 一般的なDDoS攻撃から 保護し、AWS上でDDoS に強いアーキテクチャを 構築するためのツールと ベストプラクティスを提供 AWS DDoS Shield: 使い分け 大規模で洗練された攻撃 に対するさらなる防御、攻 撃に対する可視性、複雑 なケースでのDDoSエキ スパートへの24時間365 日のアクセスを提供 Standard Protection Advanced Protection