AWS Shield – Häufig gestellte Fragen

AWS Shield Standard bietet automatischen Schutz für Webanwendungen, die unter AWS ausgeführt werden, vor den gängigsten, häufig auftretenden Angriffen auf die Infrastruktur-Ebene, wie UDP-Floods und State Exhaustion-Angriffen, wie TCP SYN Floods. Die Kunden können AWS WAF auch verwenden, um sich vor Angriffen auf die Anwendungsebene, wie HTTP POST oder GET Floods, zu schützen. Weitere Einzelheiten zur Implementierung Schutzeinrichtungen für die Anwendungsschichten finden Sie im Entwicklerhandbuch für AWS WAF und AWS Shield Advanced.

Es gibt keine Beschränkung der Anzahl von Ressourcen, die mit AWS Shield Standard geschützt werden können. Sie können alle Vorteile des AWS-Shield-Standard-Schutzes nutzen, indem Sie dieBewährte Methoden für DDoS-Resilienz in AWS umsetzen.

Sie können bis zu 1 000 AWS-Ressourcen jedes unterstützten Ressourcentyps (Classic / Application Load Balancers, Amazon-CloudFront-Verteilungen, Amazon-Route-53-Hostingzonen, Elastic IPs, AWS-Global-Accelerator-Beschleuniger) für den Schutz durch AWS Shield Advanced aktivieren. Wenn Sie mehr als 1 000 Ressourcen aktivieren möchten, können Sie eine Anhebung des Limits beantragen, indem Sie eine AWS-Support-Anfrage erstellen.

Ja. AWS Shield Advanced kann über APIs aktiviert werden. Sie können AWS-Ressourcen auch über APIs zum AWS Shield Advanced-Schutz hinzufügen oder daraus entfernen.

Normalerweise werden 99 % der Angriffe auf die Infrastruktur-Ebene, die von AWS Shield erkannt werden, bei Angriffen auf Amazon CloudFront und Amazon Route 53 in weniger als 1 Sekunde, und bei Angriffen auf Elastic Load Balancing in weniger als 5 Minuten abgewehrt. Das verbleibende 1 % der Infrastruktur-Angriffe wird normalerweise in weniger als 20 Minuten abgewehrt. Angriffe auf die Anwendungsebene werden durch Schreiben von Regeln in AWS WAF mitigiert. Diese Regeln werden dann untersucht und im Zuge eingehenden Datenverkehrs mitigiert.

Ja. Eine große Anzahl unserer Kunden hat sich entschieden, AWS-Endpunkte vor ihre Backend-Instances zu setzen. In der Regel handelt es sich bei diesen Endpunkten um unsere weltweit verteilten Services CloudFront und Route 53. Diese Services sind auch unsere Empfehlungen für bewährte Methoden für DDoS-Ausfallsicherheit. Kunden können in der Folge diese CloudFront-Distributionen und auf Route 53 gehosteten Zonen mit Shield Advanced schützen. Beachten Sie, dass Sie Ihre Backend-Ressourcen so konfigurieren bzw. beschränken müssen, dass ausschließlich Datenverkehr von diesen AWS-Endpunkten akzeptiert wird.

AWS Shield Standard schützt automatisch Ihre Webanwendungen, die unter AWS ausgeführt werden, vor den gängigsten, häufig auftretenden DDoS-Angriffen. Sie können in den Genuss aller Vorteile von AWS Shield Standard gelangen, indem Sie die Best Practices für DDoS-Resilienz unter AWS umsetzen.

AWS Shield Advanced verwaltet die Abwehr bei DDoS-Angriffen auf Ebene 3 und Ebene 4. Das bedeutet, dass Ihre designierten Anwendungen vor Angriffen wie UDP-Floods oder TCP SYN Floods geschützt sind. Darüber hinaus kann AWS Shield Advanced für Angriffe auf die Anwendungsschicht (Layer 7) Angriffe wie HTTP-Floods und DNS-Floods erkennen. Zudem können Sie, wenn Sie über Business- oder Enterprise-Support verfügen, AWS WAF verwenden, um Ihre eigene Abwehr anzuwenden, oder Sie können auf das rund um die Uhr verfügbare AWS Shield Response Team (SRT) zurückgreifen, das in Ihrem Namen Regeln schreiben kann, um DDoS-Angriffe auf Ebene 7 abzuwehren.

Ja, Sie benötigen einen Business- oder Enterprise-Support-Plan, um das AWS Shield Response Team (SRT) zu kontaktieren. Weitere Informationen zu AWS-Supportplänen finden Sie auf der AWS-Support-Website.

Sie können das AWS Shield Response Team (SRT) über den herkömmlichen AWS Support engagieren oder kontaktieren Sie AWS Support.

Die Reaktionszeit für SRT hängt von dem AWS-Supportplan ab, den Sie abonniert haben. Wir ergreifen alle angemessenen Maßnahmen, um Ihre erste Anfrage innerhalb der entsprechenden Fristen zu bearbeiten. Weitere Informationen zu AWS-Supportplänen finden Sie auf der AWS-Support-Website.

Ja. Bei AWS Shield Advanced werden Sie über CloudWatch-Metriken über DDoS-Angriffe benachrichtigt.

Normalerweise gibt AWS Shield Advanced innerhalb weniger Minuten nach der Erkennung des Angriffs eine Benachrichtigung aus.

Ja. Mit AWS Shield Advanced können Sie den Verlauf aller Ereignisse in den letzten 13 Monaten anzeigen.

Ja, AWS Shield Advanced-Kunden erhalten Zugriff auf das Global Threat Environment-Dashboard, das eine anonymisierte und stichprobenartige Ansicht aller DDoS-Angriffe auf AWS innerhalb der letzten 2 Wochen bietet.

Mit AWS WAF gibt es zwei Möglichkeiten festzustellen, wie Ihre Website geschützt ist: In CloudWatch gibt es Metriken im 1-Minuten-Intervall und in der AWS-WAF-API oder der AWS-Managementkonsole sind Stichproben von Webanforderungen verfügbar. Zusätzlich können Sie umfassende Protokolle aktivieren, die über Amazon Kinesis Firehose an ein Ziel Ihrer Wahl geliefert werden. Aus diesen können Sie ersehen, welche Anforderungen blockiert, zugelassen oder gezählt wurden und welche Regel für eine bestimmte Anforderung zur Anwendung kam (etwa, dass diese Webanforderung aufgrund einer IP-Adressen-Bedingung blockiert war usw.). Weitere Informationen finden Sie im Entwicklerhandbuch für AWS WAF und AWS Shield Advanced.

Weitere Informationen finden Sie unter Penetrationstests in AWS. Dies umfasst jedoch nicht den DDoS-Ladetest. Dieser Test ist auf AWS nicht zulässig. Wenn Sie einen Live-DDoS-Test durchführen möchten, können Sie eine Genehmigung anfordern, indem Sie ein entsprechendes Ticket beim AWS Support eröffnen. Die Genehmigung für einen solchen Test setzt die Zustimmung zu den Bedingungen des Tests durch AWS, den Kunden und den Anbieter für den DDoS-Test voraus. Beachten Sie, dass wir nur mit genehmigten Anbietern für DDoS-Tests zusammenarbeiten und der gesamte Prozess drei bis vier Wochen dauern kann.

AWS Shield Standard ist in die AWS-Dienstleistungen integriert, die Sie bereits für Ihre Webanwendungen nutzen. Es fallen keine zusätzlichen Kosten für AWS Shield Standard an.

Mit AWS Shield Advanced zahlen Sie eine monatliche Gebühr von 3.000 USD pro Unternehmen. Zusätzlich zahlen Sie auch eine Nutzungsgebühr für die Datenübertragung der für den erweiterten Schutz aktivierten AWS-Ressourcen über AWS Shield Advanced. Die Gebühren für AWS Shield Advanced fallen zusätzlich zu den Standardgebühren für Amazon EC2, Elastic Load Balancing (ELB), Amazon CloudFront, AWS Global Accelerator und Amazon Route 53 an. Weitere Informationen finden Sie auf der Preisseite für AWS Shield.

Ja, AWS Shield Advanced bietet Ihnen die Flexibilität, die Ressourcen auszuwählen, die Sie schützen möchten. Ihnen wird nur die Datenübertragung mit AWS Shield Advanced für diese geschützten Ressourcen in Rechnung gestellt.

Wenn Ihr Unternehmen über mehrere AWS-Konten verfügt, können Sie mehrere AWS-Konten für AWS Shield Advanced abonnieren, indem Sie diese über die AWS-Managementkonsole oder API für jedes Konto einzeln aktivieren. Sie zahlen die monatliche Gebühr nur ein Mal, so lange die AWS-Konten gemeinsam abgerechnet werden und Sie alle AWS-Konten und -Ressourcen in diesen Konten besitzen.