在云计算环境中，分布式拒绝服务（DDoS）攻击是常见的威胁，可能导致服务中断、性能下降和财务损失。AWS提供多种服务来缓解DDoS攻击，包括AWS Shield和AWS WAF。本文针对一家公司在AWS上部署的自我管理DNS服务（由多区域EC2实例和Global Accelerator加速器端点组成），分析如何有效防护DDoS攻击，并详细解释为何订阅AWS Shield Advanced。将加速器添加为要保护的资源是正确的解决方案。
一家公司在AWS上实现了一个自我管理的DNS服务。解决方案包括以下内容：
- 在不同AWS区域的Amazon EC2实例；
- AWS Global Accelerator中的标准加速器端点；
公司希望保护该解决方案免受DDoS攻击；解决方案架构师应该订阅AWS Shield Advanced，将加速器添加为要保护的资源来满足此要求。
问题背景与需求
该公司在AWS上运行一个自我管理的DNS服务，其架构包括：
- Amazon EC2实例：部署在不同AWS区域，作为DNS服务器处理查询请求。
- AWS Global Accelerator标准加速器端点：用于全局流量路由，通过静态IP地址将用户请求导向最近的EC2实例，以提高可用性和性能。
公司需要保护该解决方案免受DDoS攻击，确保DNS服务的可靠性和连续性。DDoS攻击可能针对网络层（第3/4层，如UDP洪水攻击）或应用层（第7层，如DNS查询泛滥），因此防护措施需覆盖多层。
针对该公司基于EC2实例和Global Accelerator的自我管理DNS服务，订阅AWS Shield Advanced并将加速器添加为受保护资源是最佳解决方案。这能有效防护网络层DDoS攻击，确保服务高可用性，同时符合AWS最佳实践。通过实施这个解决方案，公司可以构建一个健壮、安全的DNS基础设施，抵御潜在的DDoS威胁。
AWS防护服务概述
- AWS Shield ：AWS的原生DDoS防护服务。Shield Standard自动为所有AWS客户提供基础防护，而Shield Advanced提供增强防护，包括针对大型复杂攻击的缓解、成本保护、实时指标和与AWS WAF的集成。Shield Advanced可保护特定AWS资源，如EC2实例、弹性IP、CloudFront分布、Route 53托管区域和Global Accelerator加速器。
- AWS WAF：Web应用程序防火墙，主要用于防护第7层攻击（如SQL注入、跨站脚本），通过基于速率的规则限制请求频率。但AWS WAF仅适用于HTTP/HTTPS流量，通常与CloudFront、应用程序负载均衡器（ALB）或API Gateway关联。
解决方案分析
-
DNS服务的协议特性：自我管理的DNS服务通常基于DNS协议（UDP/TCP端口53），而非HTTP/HTTPS协议。因此，AWS WAF（设计用于Web流量）无法直接防护DNS流量，因为WAF规则仅能检查HTTP/HTTPS请求。选项C和D建议使用AWS WAF的基于速率规则，但这不适用于DNS端点，除非DNS服务通过HTTP暴露（如DNS over HTTPS），但题目未提及此配置，且传统DNS服务不使用HTTP。因此，创建一个包含基于速率的规则的AWS WAF web ACL，将web ACL与加速器关联和创建一个包含基于速率的规则的AWS WAF web ACL，将web ACL与EC2实例关联不正确。
-
DDoS攻击的多层性：DDoS攻击常针对网络层（如Volumetric攻击），这对DNS服务尤为常见。AWS Shield Advanced专门防护第3/4层攻击，并能缓解第7层攻击（当与WAF结合时）。单独使用AWS WAF无法防护网络层攻击，因此需Shield Advanced作为基础防护。
-
资源保护的重点：在架构中，Global Accelerator加速器是流量入口点，所有用户请求首先到达加速器的静态IP地址，然后被路由到后端EC2实例。因此，保护加速器至关重要：
- 订阅AWS Shield Advanced。将加速器添加为要保护的资源，这能直接防护加速器IP地址免受DDoS攻击，确保入口流量安全。
- 选项B建议保护EC2实例，但EC2实例通过加速器接收流量，若加速器未受保护，攻击可能穿透并影响实例。此外，Shield Advanced支持加速器作为资源，而加速器防护可覆盖其后端端点（包括EC2实例），提供更全面的防护。
- AWS文档推荐将Shield Advanced与Global Accelerator结合，以增强DDoS防护能力，因为加速器作为全局入口，其静态IP是攻击的主要目标。
-
成本与效率：Shield Advanced提供针对受保护资源的专用防护和AWS成本保护，在DDoS攻击期间可减免资源缩放产生的费用。相比之下，仅保护EC2实例可能无法覆盖加速器层面的攻击，导致服务中断。此外，Global Accelerator与Shield Advanced集成简化了管理，无需为每个EC2实例单独配置。
实施步骤
为满足需求，解决方案架构师应执行以下步骤：
- 订阅AWS Shield Advanced：通过AWS管理控制台或API启用Shield Advanced服务（需额外费用）。
- 添加加速器为受保护资源：在Shield Advanced控制台中，将Global Accelerator加速器标识为受保护资源。这可通过加速器ARN（Amazon资源名称）完成。
- 配置监控与响应：利用Shield Advanced的实时指标和AWS WAF集成（如需应用层防护），设置CloudWatch警报，并制定事件响应计划。
- 补充措施 （可选）：
- 结合AWS WAF：如果DNS服务未来扩展为HTTP-based，可创建WAF web ACL并关联到加速器，但非本题必需。
- 使用Route 53健康检查：确保加速器端点健康，实现故障转移。
- 实施网络ACL和安全组：限制EC2实例的入站流量，仅允许来自加速器的流量。
最佳实践与注意事项
- 多层防护策略：对于关键服务，建议采用分层防护------Shield Advanced用于网络层，AWS WAF用于应用层（如果适用）。本题中DNS服务以网络层为主，因此Shield Advanced是核心。
- 资源范围：Shield Advanced可同时保护多个资源（如加速器和EC2实例），但保护加速器更高效，因为它是单一入口点。若EC2实例有独立公网IP，可额外添加为受保护资源，但非必需。
- 区域覆盖：Global Accelerator加速器跨多个AWS区域，Shield Advanced的防护自动覆盖所有区域，无需单独配置。
- 测试与验证：定期进行DDoS模拟测试，确保防护措施有效，并审查AWS Shield报告以优化规则。