亚马逊云科技 Shield 部署小指南（一）Shield Advanced Onboard
内容提要
AWS Shield是一项托管服务，旨在保护应用程序和网站免受DDoS攻击的影响。它提供了两个层级的保护：AWS Shield Standard和AWS Shield Advanced。AWS Shield Standard是免费服务，提供基本的DDoS保护。AWS Shield Advanced是付费服务，提供更高级别的DDoS防护和24/7的专家支持。本文介绍了如何启用和部署Shield Advanced，包括将关键资源纳入保护范围、启用WAF、配置Route 53健康检查等。同时提供了一些优化配置建议，如使用NACL和Shield Advanced结合放大系统防护能力、创建Protection Group进行资源管理等。
延伸解读
Shield Advanced 的启用时机与成本减免前提
文章强调，Shield Advanced 需要提前 24-72 小时启用，以便学习应用的正常流量模型，从而更准确地区分攻击流量和合法流量。此外，正确配置 Route 53 健康检查和 WAF 速率限制规则，是遭受攻击后申请成本减免的重要前提。这意味着用户不能等到攻击发生才临时启用，而应提前规划并完成相关配置，才能充分发挥服务效果并可能降低费用。
Protection Group 的聚合方式选择：Sum 的适用场景
Protection Group 可将多个受保护资源视为单个实体，支持 Sum、Mean、Max 三种聚合方式。文章建议大多数场景采用 Sum，尤其当服务由多个 EIP 或 ALB 组成时，Sum 能更快检测 DDoS 攻击。同时，当某个资源故障导致流量转移时，Sum 可防止新增流量被误判为攻击。因此，合理选择聚合方式对防护效率和准确性有直接影响。
非 CloudFront 接入服务的防护思路：NACL 的放大作用
对于无法使用 CloudFront 接入的服务，如 UDP 和非 Web 的 TCP 服务，Shield Advanced 会将受保护资源所在公有子网的 NACL 复制部署到全球边缘节点和区域的 DDoS 防护集群。这相当于放大了 NACL 的防御容量，实现近攻击源清洗。这一机制为传统架构提供了额外的防护层，但需注意其适用范围限于特定协议和服务类型。
组织级统一管理：Firewall Manager 与定制化防护
AWS Firewall Manager 可在整个组织范围内集中管理 Shield Advanced 和 WAF 策略，自动发现未受保护的资源，且其策略费用包含在 Shield Advanced 订阅费中。对于有特殊防护需求的用户，还可通过 TAM 或 Account 团队申请定制化防护。这些选项适合多账户环境或需要统一安全策略的企业，能减少手动配置的遗漏风险。
Q&A
AWS Shield Advanced的主要功能是什么？
AWS Shield Advanced提供高级别的DDoS防护，覆盖应用层攻击，并提供24/7的专家支持。
如何启用AWS Shield Advanced？
启用AWS Shield Advanced需要订阅服务、添加保护资源并配置健康检查。
AWS Shield Standard和Advanced有什么区别？
AWS Shield Standard是免费服务，提供基本的DDoS保护；而AWS Shield Advanced是付费服务，提供更高级别的保护和专家支持。
在CloudFront上启用WAF有什么好处？
在CloudFront上启用WAF可以自定义规则监控流量，并与AWS Shield Advanced无缝集成，提高DDoS防护效果。
如何创建Protection Group以管理资源？
可以根据资源类型或手动选择的方式创建Protection Group，将受Shield Advanced保护的资源视为单个实体进行管理。
使用NACL和Shield Advanced结合有什么好处？
使用NACL和Shield Advanced结合可以增强防护能力，放大系统的防护容量，近攻击源清洗流量。
