本文へスキップ
BecomeCoder

AWS SAA（ソリューションアーキテクト）コース　·　第3章　セキュアなアーキテクチャ設計　·　レッスン16

エッジでの保護

導入

多層防御（レッスン12）の一番外側、「インターネットとの境界」を守るのがWAFとShieldです。悪意あるリクエストや大量トラフィックの攻撃を、システムの奥まで到達させる前に食い止めます。

説明

AWS WAF（Web Application Firewall） は、Webアプリケーション層（レイヤー7）を守るファイアウォールです。HTTPリクエストの中身を見て、悪意あるパターンを検知・ブロックします。

AWS Shield は、DDoS（分散型サービス拒否）攻撃からインフラを守るサービスです。

プラン内容料金
Shield Standard一般的なネットワーク層/トランスポート層のDDoS攻撃から自動的に保護無料（全利用者に自動適用）
Shield Advancedより高度な攻撃への対策、24時間対応の専門チーム支援、コスト保護（DDoSによる急な請求増を補填）有料
flowchart LR
    ATK["攻撃者からのトラフィック"] --> SH["Shield<br/>（DDoS対策）"]
    SH --> WAF["WAF<br/>（L7の不正リクエスト対策）"]
    WAF --> CF["CloudFront / Route 53"]
    CF --> APP["アプリケーション"]

WAFとShieldは役割が異なるため、組み合わせて使うのが基本です。ShieldがネットワークレベルのDDoSから守り、WAFがアプリケーションレベルの不正リクエスト（SQLインジェクションなど）から守ります。どちらもCloudFrontやRoute 53と組み合わせて、エッジ（利用者に近い場所）で攻撃を止めるのが効果的です。

具体例

大手ECサイトが、セール当日に2種類の攻撃を同時に受けたと想像してください。担当が違います。

  • 攻撃1：ログイン欄にSQLインジェクション … データベースを不正操作しようとする悪意あるリクエスト。これはアプリ層（L7）の攻撃なので、WAFがリクエストの中身を検査してブロック。ついでに、攻撃元の特定国からのアクセスもWAFのルールで遮断した。
  • 攻撃2：世界中のボットから大量アクセスのDDoS … サイトをパンクさせ、しかも大量トラフィックで通信料が跳ね上がる恐れ。Shieldがネットワーク層のDDoSを吸収。さらにShield Advancedなら、DDoSによる急な請求増を補填する「コスト保護」と24時間の専門チーム支援まで付く。

この2つは守る層が違うので、併用が正解。「SQLインジェクション対策は？」→WAF、「DDoSによる高額請求を防ぐには？」→Shield Advanced、と攻撃の種類で切り分け、複合問題では「WAF＋Shield」を選びます。

読んでみよう

「SQLインジェクションを防ぎたい」ならWAF、「DDoS攻撃で高額請求になるのを防ぎたい」ならShield Advanced、と攻撃の種類で使い分けるのが出題パターンです。両方が絡む複合問題では「WAF＋Shieldの併用」が正解になることが多いです。

次のレッスンへ →