Preguntas frecuentes acerca de AWS Shield

AWS Shield Standard proporciona protección automática para aplicaciones web que se ejecutan en AWS ante los ataques que normalmente ocurren en la capa de la infraestructura como UDP floods y ataques de agotamiento de estado como TCP SYN floods. Los clientes también pueden usar AWS WAF para protegerse ante ataques en la capa de la aplicación como HTTP POST o GET floods. Consulte la Guía para desarrolladores de AWS WAF y AWS Shield Avanzado para obtener más información sobre cómo implementar protecciones en la capa de la aplicación.

No hay límite para el número de recursos sujetos a la protección de AWS Shield Standard. Para disfrutar de todos los beneficios de las protecciones de AWS Shield Estándar, siga las prácticas recomendadas de resistencia ante DDoS en AWS.

Puede habilitar hasta 1000 recursos de AWS de cada tipo de recurso compatible (equilibradores de carga de aplicaciones/clásicos, distribuciones de Amazon CloudFront, zonas de alojamiento de Amazon Route 53, IP elásticas, aceleradores de AWS Global Accelerator) para que reciban la protección avanzada de AWS Shield. Si desea habilitar más de 1000, puede solicitar un aumento del límite creando un caso de AWS Support.

Sí. AWS Shield Advanced se puede activar mediante las API. También puede agregar o eliminar recursos de AWS de la protección de AWS Shield Advanced mediante las API.

Normalmente, el 99% de los ataques en la capa de la infraestructura detectados por AWS Shield se mitigan en menos de 1 segundo para ataques en Amazon CloudFront y Amazon Route 53, y en menos de 5 minutos para ataques en Elastic Load Balancing. El 1% restante de los ataques en la infraestructura se suelen mitigar en menos de 20 minutos. Los ataques en la capa de la aplicación se mitigan escribiendo reglas en AWS WAF, que se inspeccionan y mitigan en línea con el tráfico entrante.

Sí. Algunos de nuestros clientes optan por utilizar puntos de enlace de AWS frente a sus instancias de backend. La mayoría de las veces, estos puntos de enlace son nuestros servicios con distribución global CloudFront y Route 53. Estos son los servicios que también sugerimos como práctica recomendada para la resiliencia ante ataques DDoS. Los clientes pueden proteger estas distribuciones de CloudFront y zonas alojadas de Route 53 con Shield Advanced. Tenga en cuenta que debe bloquear los recursos de backend para que acepten únicamente el tráfico proveniente de estos puntos de enlace de AWS.

AWS Shield Standard protege automáticamente sus aplicaciones web que se ejecutan en AWS ante los ataques DDoS que se producen con mayor frecuencia. Puede disfrutar de todos los beneficios de AWS Shield Standard siguiendo las prácticas recomendadas de resistencia a DDoS en AWS.

AWS Shield Advanced administra la mitigación de ataques DDoS en las capas 3 y 4. Esto implica que las aplicaciones designadas están protegidas ante ataques como inundaciones UDP o TCP SYN. Además, para los ataques en la capa de la aplicación (capa 7), AWS Shield Advanced puede detectar ataques como inundaciones HTTP y DNS. Puede utilizar AWS WAF para aplicar sus propias mitigaciones o, si tiene soporte técnico de nivel Business o Enterprise, puede comunicarse con el equipo de respuesta de AWS Shield (SRT) de AWS en cualquier momento, que puede escribir reglas por usted para mitigar ataques DDoS en la capa 7.

Sí, debe tener un plan de soporte Business o Enterprise para remitir el problema al equipo de respuesta de AWS Shield (SRT) o entrar en contacto con este. Para obtener más detalles sobre los planes de AWS Support, consulte el sitio web de AWS Support.

Puede comunicarse con el equipo de respuesta de AWS Shield (SRT) a través del canal habitual de AWS Support o puede comunicarse con AWS Support.

Los tiempos de respuesta del SRT dependen del plan de AWS Support al que esté suscrito. Haremos todo lo posible por responder a su solicitud inicial en los plazos correspondientes. Para obtener más detalles sobre los planes de AWS Support, consulte el sitio web de AWS Support.

Sí. Con AWS Shield Advanced recibirá una notificación de ataques de DDoS a través de las métricas de CloudWatch.

Normalmente AWS Shield Advanced proporciona la notificación de un ataque a los pocos minutos de la detección.

Sí. Con AWS Shield Advanced podrá ver el historial de todos los incidentes en los últimos 13 meses.

Sí, los clientes de AWS Shield Advanced obtienen acceso al panel del entorno de amenazas globales, que ofrece una vista anonimizada y muestreada de todos los ataques DDoS encontrados en AWS en las últimas dos semanas.

AWS WAF incluye dos formas diferentes de ver cómo se protege el sitio web: las métricas de un minuto están disponibles en CloudWatch y las solicitudes web con muestras están disponibles en la API de AWS WAF o en la consola de administración de AWS. Además, puede habilitar registros completos que se entregan a través de Amazon Kinesis Firehose al destino que elija. De ese modo, puede ver las solicitudes bloqueadas, permitidas o contadas y qué regla se aplicó para una solicitud determinada (es decir, esta solicitud web se bloqueó debido a una condición de la dirección IP, etc.). Para obtener más información, consulte la Guía para desarrolladores de AWS WAF y AWS Shield Avanzado.

Consulte la sección Pruebas de intrusión en AWS. Sin embargo, no se incluye una “prueba de carga de DDoS”, que no está autorizada en AWS. Si desea realizar una prueba de DDoS en directo, puede solicitar su aprobación mediante el envío de un ticket a través de AWS Support. La aprobación está sujeta al acuerdo en relación con las condiciones de la prueba entre AWS, el cliente y el proveedor que realizará la prueba de DDoS. Tenga en cuenta que trabajamos únicamente con proveedores de pruebas de DDoS aprobados y que el proceso completo demora de 3 a 4 semanas.

AWS Shield Standard está integrado en los servicios de AWS que ya utiliza para sus aplicaciones web. El uso de AWS Shield Standard no implica costos adicionales.

Con AWS Shield Advanced, paga una tarifa mensual de 3000 USD al mes por organización. Además, también paga las tarifas de uso de transferencia de datos de AWS Shield para recursos de AWS habilitados para la protección avanzada. Los cargos de AWS Shield Advanced se agregan a las tarifas estándar de Amazon EC2, Elastic Load Balancing (ELB), Amazon CloudFront, AWS Global Accelerator y Amazon Route 53. Consulte la página de precios de AWS Shield para conocer más detalles.

Sí, AWS Shield Advanced le permite la flexibilidad de elegir los recursos que desea proteger. Solo se le cobrará por la transferencia de datos de AWS Shield Advanced en estos recursos protegidos.

Si su organización tiene varias cuentas de AWS, puede suscribir varias cuentas de AWS a AWS Shield Advanced habilitándolas de forma individual en cada cuenta con la consola de administración de AWS o la API. Pagará una sola cuota mensual siempre y cuando las cuentas de AWS se encuentren dentro de una misma factura consolidada y usted sea el propietario de todas las cuentas y recursos de AWS de esas cuentas.