AWS 基础设施保护丨体验最卓越的云安全服务

AWS Shield Advanced 为受保护的弹性 IP 地址、Elastic Load Balancing (ELB)、Amazon CloudFront、AWS Global Accelerator 或 Amazon Route 53 资源提供基于流量模式的自定义检测功能。AWS Shield Advanced 使用其他特定于区域和资源的监控技术，检测较小的 DDoS 攻击并向您发出警报。AWS Shield Advanced 还可以针对应用程序上的流量建立基线并识别异常情况，从而检测 HTTP 洪泛或 DNS 查询洪泛等应用程序层攻击。

AWS Shield Advanced 可根据应用程序的运行状况来提高攻击检测和缓解的响应能力和准确性。您可以在 Amazon Route 53 中定义运行状况检查，然后通过控制台或 API 将其与受 Shield Advanced 保护的资源关联。这样的话，Shield Advanced 能以更低的流量阈值更快地检测影响应用程序运行状况的攻击，提高应用程序的 DDoS 弹性，并防止误报。资源运行状态还会提供给 Shield 响应团队，使他们能够相应地优先对运行不正常的应用程序作出响应。您可以将基于运行状况的检测应用于 Shield Advanced 支持的所有资源类型：Elastic IP、Elastic Load Balancing (ELB)、Amazon CloudFront、AWS Global Accelerator 或 Amazon Route 53。

AWS Shield Advanced 可以为您提供更为精细的自动缓解机制，用于防护以在受保护的 Amazon Elastic Compute Cloud (EC2)、Elastic Load Balancing (ELB)、Amazon CloudFront、AWS Global Accelerator 和 Amazon Route 53 资源上运行的应用程序为目标的攻击。AWS Shield Advanced 利用先进的路由技术，可以自动部署更多缓解能力，使您的应用程序不受 DDoS 攻击。对于采用商业或企业支持计划的客户，AWS Shield 响应团队 (SRT) 也可以为您手动缓解针对您的应用程序的更复杂、更高级的 DDoS 攻击。对于应用程序层攻击，您可以使用 AWS WAF，无需为 AWS Shield Advanced 受保护资源支付额外费用，以设置基于速率的黑名单等主动规则，自动阻止攻击源 IP 地址的 Web 请求，或在事件发生时立即作出响应。您也可以直接与 SRT 联系，以您的名义发布自定义AWS WAF 规则，以便响应应用程序层 DDoS 攻击。SRT 将诊断攻击，并且在您允许的情况下，可以代表您应用缓解，从而缩短您的应用程序受持续 DDoS 攻击影响的时间。

AWS Shield Advanced 使 Shield 响应团队 (SRT) 能够在检测到 DDoS 事件时进行主动参与。当您启用主动参与后，如果与您的保护资源相关的 Amazon Route 53 运行状况检查在发生 DDoS 事件时变为运行不良状况，SRT 将直接联系您。这样一来，当您的应用程序可用性受到疑似攻击影响时，您可以与专家更加快速地互动。对于弹性 IP 地址和 Global Accelerator 加速器上的网络层和传输层事件，以及对 CloudFront 发行版和 Application Load Balancer 上的应用程序层攻击，您可以接收主动参与。

AWS Shield Advanced 让您可以将资源绑定到保护组中，通过将多个资源作为单个单元处理，为您提供一种自助方式来定制应用程序的检测和缓解范围。资源分组提高了检测的准确性，减少了误报，简化了新创建资源的自动保护过程，并加快了缓解针对多个资源的攻击的时间。例如，如果一个应用程序包含四个 CloudFront 发行版，您可以将它们添加到一个保护组中，以接收对整个资源集合的检测和保护。报告还可以在保护组级别使用，从而提供整个应用程序运行状况的更全面视图。

AWS Shield Advanced 通过 Amazon CloudWatch 为您提供 DDoS 攻击的完整可见性以及近乎实时的通知，并在“AWS WAF 和 AWS Shield”管理控制台或 API 上提供详细的诊断信息。您也可以从“AWS WAF 和 AWS Shield”管理控制台查看汇总显示的之前发生过的攻击。

AWS Shield Advanced 具有“DDoS 费用保护”功能，这一功能可以在受保护的 Amazon Elastic Compute Cloud (EC2)、Elastic Load Balancing (ELB)、Amazon CloudFront、AWS Global Accelerator 或 Amazon Route 53 资源出现 DDoS 相关的使用量高峰时，防止您的费用增加。如果上述任一受保护的资源的费用因 DDoS 攻击而增加，您可以通过常规的 AWS Support 渠道申请 AWS Shield Advanced 服务退款。

对于采用商业或企业支持计划的客户，您可以通过 AWS Shield Advanced 联系随时待命的 AWS Shield 响应团队 (SRT)，该团队可以在 DDoS 攻击发生之前、发生过程中或发生之后为您提供服务。SRT 会帮助您对攻击进行诊断、确定根本原因并采取缓解措施。SRT 在快速响应和缓解针对 AWS 客户的 DDoS 攻击方面具有深厚的专业知识。

目前，客户可在全球所有 Amazon CloudFront、AWS Global Accelerator 和 Amazon Route 53 边缘站点使用 AWS Shield Advanced。通过为您的应用程序部署 Amazon CloudFront，您可以保护在全球任意位置托管的 Web 应用程序的安全。您的源服务器可以是 Amazon S3、Amazon Elastic Compute Cloud (EC2)、Elastic Load Balancing (ELB) 或 AWS 外部的自定义服务器。您还可以在 AWS Shield Advanced 可用的所有区域中直接对弹性 IP 或 Elastic Load Balancing (ELB) 实例启用保护。

AWS Shield Advanced 客户可以使用 AWS Firewall Manager 在整个组织中应用 AWS Shield Advanced 和 AWS WAF 保护。Firewall Manager 的费用包括在 Shield Advanced 订阅费里面。使用 AWS Firewall Manager，您可以自动配置涵盖多个账户和资源的策略。Firewall Manager 会自动审核账户以查找新的或未受保护的资源，并确保 AWS Shield Advanced 和 AWS WAF 保护已得到普遍应用。这使得开发人员能够自信地快速迁移和部署新的应用程序，并且还会自动应用相应的保护。如需了解更多有关 AWS Firewall Manager 的信息，请访问产品网站。

AWS Network Firewall 可检查并帮助控制 VPC 至 VPC 的流量，以在逻辑上分离托管敏感应用程序的网络或业务线工作负载。通过网络和应用程序层的有状态可见性，AWS Network Firewall 可以使用 AWS Transit Gateway 为互联的 VPC 提供精细的网络安全控制。

AWS Network Firewall 提供 URL/域名、IP 地址和基于内容的出站流量筛选，以停止可能的数据丢失、帮助满足合规性要求并阻止已知的恶意软件通信。AWS Network Firewall 支持数千条规则，这些规则可以筛选出目的地为已知恶意 IP 地址已知恶意域名的网络流量。

AWS Network Firewall 保护来自客户端设备和 AWS Transit Gateway 支持的本地环境的 AWS Direct Connect 和 VPN 流量的安全。AWS Network Firewall 可以限制此流量，以确保仅向 VPC 资源授予最低访问权限。

AWS Network Firewall 通过使用访问控制列表 (ACL) 规则、有状态检查、协议检测和入侵预防等功能检查所有入站互联网流量来帮助防止入侵。

AWS Firewall Manager 集成了 AWS Organizations，因此您可以从单一地点跨多个 AWS 账户和资源为您的 Amazon VPC 启用 AWS WAF 规则、AWS Shield 高级防护、安全组、AWS Network Firewall 规则和 Amazon Route 53 Resolver DNS Firewall 规则。您可以在整个基础设施中组合规则、创建策略，并集中地应用这些策略。例如，您可以在单个账户内委托创建特定应用程序的规则，同时保留跨账户实施全局安全策略的能力。

AWS Firewall Manager 自动实施您在现有资源和新建资源中定义的强制性安全策略。该服务可以发现跨账户创建的新资源。例如，如果您需要符合美国财政部海外资产控制办公室 (OFAC) 的规定，可以使用 Firewall Manager 部署 AWS WAF 规则，以便跨 Application Load Balancer、API Gateway 和 Amazon CloudFront 账户阻止来自禁运国家/地区的流量。创建新资源后，它们将自动进入策略范围内。

AWS Firewall Manager 集成了适用于 AWS WAF 的托管规则，这使您能够轻松地将预先配置的 WAF 规则部署在应用程序上。您可以选择由 AWS Marketplace 卖家提供的托管规则，并且只需在控制台中点击几下即可将其一致地部署在 Application Load Balancer、API Gateway 和 Amazon CloudFront 基础设施中。例如，您可以从提供 CVE 补丁更新的 AWS Marketplace 订阅 WAF 托管规则，从而轻松保护整个组织免受零日漏洞攻击。对于 Advanced Shield 防护，您可以使用 AWS Firewall Manager 自动跨账户抵御各种类型的 DDoS 攻击，例如 UDP 反射攻击、SYN 泛洪、DNS 查询泛洪和的 HTTP 泛洪攻击。

使用 Firewall Manager，您的安全管理员可以为您的 Amazon VPC 中的 EC2 实例、Application Load Balancer (ALB) 和 Elastic Network Interfaces (ENI) 部署 VPC 安全组规则的基线集。同时，您还可以从一个位置对您的 VPC 中的任何现有的安全组进行过度宽松的规则审计，并对它们进行修复。您可以利用 Firewall Manager 跨您组织中的 VPC 为 AWS Network Firewall 部署规则，以控制离开和进入您的网络的流量。 同时，利用 Firewall Manager，您还可以将 VPC 与 Route 53 Resolver DNS Firewall 规则相关联，以阻止针对已知恶意域的 DNS 查询，并且允许针对受信任域的查询。