Come posso difendermi dagli attacchi DDoS con AWS Shield Standard?

Breve descrizione

Per impostazione predefinita, AWS Shield Standard è attivo in ogni account AWS senza costi aggiuntivi. I seguenti servizi dispongono di mitigazioni Shield Standard "sempre attive" contro i comuni attacchi di rete e a livello di trasporto:

• Amazon CloudFront per carichi di lavoro HTTP e gRPC Remote Procedure Call
• Amazon Route 53 per DNS

Risoluzione

Per proteggere un'applicazione dagli attacchi DDoS con Shield Standard, è consigliabile definire l'architettura dell'applicazione rispettando le seguenti linee guida:

• Utilizza servizi progettati per scalare.
• Riduci la superficie di attacco.
• Rileva e filtra il traffico dannoso.
• Monitora il comportamento delle applicazioni.
• Crea un piano per gli attacchi DDoS.

Utilizza servizi progettati per scalare

Progetta per traffico su larga scala rispettando le seguenti best practice:

• Proteggi l'applicazione all'edge della rete AWS utilizzando CloudFront, Global Accelerator e Route 53.
• Distribuisci il traffico con Elastic Load Balancing e, per l'Application Load Balancer, riserva una capacità minima [prenotando capacità](http://Capacity reservations for your Application Load Balancer).
• Scala orizzontalmente o verticalmente in base alle necessità con Application Auto Scaling, che si integra con più servizi.

Riduci la superficie di attacco

Riduci la superficie di attacco rispettando le seguenti best practice:

• Limita l'accesso alle origini CloudFront. Per un'origine Amazon S3, utilizza il controllo degli accessi all'origine (OAC). Per un'origine che è un'istanza Elastic Load Balancer, Network Load Balancer o EC2, utilizza origini VPC. Se attualmente utilizzi un elenco di prefissi gestito da CloudFront senza origini VPC, implementa origini VPC.
• Per assicurarti che solo il traffico previsto raggiunga l'applicazione, utilizza la lista di controllo degli accessi alla rete (ACL) e i gruppi di sicurezza.
• Per ridurre la probabilità di traffico dannoso verso l'applicazione, non assegnare indirizzi IP elastici pubblici alle risorse di backend.

Per ulteriori informazioni, consulta Riduzione della superficie di attacco.

Rileva e filtra il traffico dannoso

Rileva e filtra il traffico dannoso rispettando le seguenti best practice:

• Utilizza le best practice per AWS WAF descritte in DDoS Resilience - Using AWS WAF to protect against DDoS Botnets (Resilienza agli attacchi DDoS: utilizzo di AWS WAF per proteggersi dalle botnet DDoS).
  Nota: per AWS WAF devi utilizzare Amazon CloudFront, Gateway Amazon API, Application Load Balancer, AWS AppSync o Amazon Cognito.
• Utilizza il caching CDN di CloudFront per ridurre le richieste all'origine che possono essere memorizzate nella cache (consulta DDoS Resilience - the unbelievable importance of HTTP caching (Resilienza agli attacchi DDoS: l'incredibile importanza del caching HTTP).
• Attiva il caching delle API in Gateway API laddove appropriato e utilizza i limiti di burst per ogni metodo con le REST API di Gateway Amazon API.

Per ulteriori informazioni, consulta Tecniche di mitigazione.

Monitora il comportamento dell'applicazione

Monitora il comportamento dell'applicazione rispettando le seguenti best practice:

• Crea dashboard di Amazon CloudWatch per stabilire una base per le principali metriche dell'applicazione, come i modelli di traffico e l'utilizzo delle risorse.
• Migliora la visibilità dei log di CloudWatch con la soluzione di registrazione centralizzata.
• Configura allarmi in CloudWatch per scalare automaticamente l'applicazione in risposta a un attacco DDoS.

Per ulteriori informazioni, consulta Monitoraggio di Application Auto Scaling.

Crea un piano per gli attacchi DDoS

Sviluppa in anticipo un runbook in modo da poter rispondere agli attacchi DDoS in modo efficiente e tempestivo. Per indicazioni sulla creazione di un runbook, consulta Guida sulla risposta agli incidenti di sicurezza di AWS.

Per ulteriori informazioni sulla protezione di un'applicazione dagli attacchi DDoS, consulta Best practice di AWS per la resilienza DDoS.

Informazioni correlate

How to help protect dynamic web applications against DDoS attacks by using CloudFront and Route 53 (Come contribuire a proteggere le applicazioni web dinamiche dagli attacchi DDoS utilizzando CloudFront e Route 53)

How to protect your web application against DDoS attacks by using Route 53 and an external content delivery network (Come proteggere la tua applicazione web dagli attacchi DDoS utilizzando Route 53 e una rete di distribuzione di contenuti esterna)

How to protect a self-managed DNS service against DDoS attacks using AWS Global Accelerator and AWS Shield Advanced (Come proteggere un servizio DNS self-managed dagli attacchi DDoS utilizzando AWS Global Accelerator e AWS Shield Advanced)

Test e ottimizzazione delle protezioni AWS WAF