Lógica de mitigación para aplicaciones web de AWS Shield Advanced

AWS Shield Advanced utiliza AWS WAF para mitigar los ataques a la capa de aplicaciones web. AWS WAF está incluido con Shield Advanced sin coste adicional.

Protección estándar de la capa de aplicación

Al proteger una distribución de Amazon CloudFront o un equilibrador de carga de aplicación con Shield Advanced, puede usar Shield Advanced para asociar una ACL web de AWS WAF con su recurso protegido si aun no tiene una asociada. Si aún no ha configurado una ACL web, puede usar el asistente de consola de Shield Advanced para crear una y agregarle una regla basada en tasas. Una regla basada en tasas limita el número de solicitudes por intervalo de cinco minutos para cada dirección IP, lo que proporciona protecciones básicas contra inundación de solicitudes de la capa de aplicaciones web. Puede configurar la tasa, empezando por 10. Para obtener más información, consulte Protección de la capa de aplicaciones con ACL web de AWS WAF y Shield Avanzado.

También puede usar el servicio de AWS WAF para administrar la ACL web. A través de AWS WAF, puede ampliar la configuración de la ACL web para hacer cosas como inspeccionar componentes específicos de las solicitudes web para comprobar si coinciden con las cadenas o patrones, agregar un manejo personalizado de las solicitudes y las respuestas, y comparar la geolocalización del origen de la solicitud. Para obtener más información acerca de las reglas de AWS WAF, consulte AWS WAFReglas de .

Mitigación automática en la capa de aplicación

Para una protección mejorada, active la mitigación automática de la capa de aplicación Shield Advanced. Con esta opción, Shield Avanzado mantiene una regla de AWS WAF de limitación de tasas para las solicitudes de fuentes de DDoS conocidas y proporciona mitigaciones personalizadas para los ataques DDoS detectados.

Cuando Shield Advanced detecta un ataque a un recurso protegido, intenta identificar una firma de ataque que aísle el tráfico de ataque del tráfico normal a su aplicación. Shield Advanced evalúa la firma del ataque identificada comparándola con los patrones de tráfico históricos del recurso que está siendo atacado, así como de cualquier otro recurso que esté asociado a la misma ACL web.

Si Shield Advanced determina que la firma del ataque aísla solo el tráfico implicado en el ataque DDoS, implementa la firma en las reglas de AWS WAF dentro de la ACL web asociada. Puede indicar a Shield Advanced que coloque mitigaciones que solo cuenten el tráfico con el que coinciden o que lo bloqueen, y puede cambiar la configuración en cualquier momento. Cuando Shield Advanced determina que sus reglas de mitigación ya no son necesarias, las elimina de la ACL web. Para obtener más información sobre la mitigación de eventos de la capa de aplicaciones, consulte Automatización de la mitigación de DDoS en la capa de aplicación con Shield Avanzado .

Para obtener más información sobre las mitigaciones de la capa de aplicación de Shield Advanced, consulte Protección de la capa de aplicación (capa 7) con AWS Shield Advanced y AWS WAF.