Detección y mitigación

En esta sección se describen los factores que afectan a la detección y mitigación de los eventos de la capa de aplicación por parte de Shield Advanced.

Comprobaciones de estado

Los controles de estado que informan con precisión del estado general de su aplicación proporcionan a Shield Advanced información sobre las condiciones de tráfico que experimenta su aplicación. Shield Advanced requiere menos información que indique un posible ataque cuando la aplicación informa que está en mal estado y requiere más pruebas de un ataque si la aplicación informa que está en buen estado.

Es importante configurar los controles de estado para que informen con precisión del estado de la aplicación. Para obtener más información y orientación, consulte Detección basada en la salud mediante controles de salud.

Líneas base de tráfico

Las líneas base de tráfico proporcionan a Shield Advanced información sobre las características del tráfico normal de su aplicación. Shield Advanced utiliza estas líneas base para reconocer cuándo su aplicación no recibe tráfico normal, de modo que pueda notificárselo y, según esté configurado, empezar a diseñar y probar opciones de mitigación para contrarrestar un posible ataque. Para obtener información adicional sobre cómo Shield Advanced utiliza las líneas base de tráfico para detectar posibles eventos, consulte la sección de información general. Lógica de detección de amenazas en la capa de aplicación

Shield Advanced crea sus líneas base a partir de la información proporcionada por la ACL web asociada al recurso protegido. La ACL web debe estar asociada al recurso durante al menos 24 horas y hasta 30 días antes de que Shield Advanced pueda determinar de forma fiable las líneas base de la aplicación. El tiempo necesario comienza cuando se asocia la ACL web, ya sea a través de Shield Advanced o a través de AWS WAF.

Para obtener más información sobre el uso de una ACL web con las protecciones de la capa de aplicación Shield Advanced, consulteShield: ACL AWS WAF web de capa de aplicación avanzada y reglas basadas en tasas.

Reglas basadas en frecuencia

Las reglas basadas en tasas pueden ayudar a mitigar los ataques. También pueden ocultar los ataques, mitigándolos antes de que se conviertan en un problema lo suficientemente grande como para que aparezcan en las líneas de referencia de tráfico normales o en los informes de estado de los controles de estado.

Le recomendamos que utilice reglas basadas en tasas en su ACL web cuando proteja un recurso de aplicación con Shield Advanced. Si bien sus medidas de mitigación pueden ocultar un posible ataque, son una valiosa primera línea de defensa, ya que ayudan a garantizar que su aplicación permanezca disponible para sus clientes legítimos. El tráfico que tus reglas basadas en tarifas detectan y el límite de velocidad se muestran en tus métricas. AWS WAF

Además de sus propias reglas basadas en tasas, si habilita la mitigación automática de DDoS en la capa de aplicación, Shield Advanced añade un grupo de reglas a su ACL web que utiliza para mitigar los ataques. En este grupo de reglas, Shield Advanced siempre cuenta con una regla basada en la velocidad que limita el volumen de solicitudes de direcciones IP que se sabe que son fuentes de ataques DDoS. Las métricas del tráfico que mitigan las reglas de Shield Advanced no están disponibles para que las veas.

Para obtener más información sobre las reglas basadas en tarifas, consulteInstrucción de regla basada en frecuencia. Para obtener información sobre la regla basada en tasas que Shield Advanced utiliza para la mitigación automática de DDoS en la capa de aplicación, consulte. El grupo de reglas de Shield Advanced

Para obtener más información sobre Shield Advanced y AWS WAF las métricas, consulteMonitorización con Amazon CloudWatch.