기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
이 페이지에서는 자동 애플리케이션 계층 DDoS 완화에 대한 주제를 소개하고 관련 주의 사항을 나열합니다.
보호된 애플리케이션 계층 리소스에 대한 애플리케이션 계층(계층 7) 공격을 완화하도록 Shield Advanced를 구성하여 공격의 일부인 웹 요청을 세거나 차단함으로써 자동으로 대응하도록 구성할 수 있습니다. 이 옵션은 AWS WAF 웹 ACL 및 자체 속도 기반 규칙을 사용하여 Shield Advanced를 통해 추가하는 애플리케이션 계층 보호에 추가됩니다.
리소스에 대해 자동 완화가 활성화되면 Shield Advanced는 리소스를 대표하여 완화 규칙을 관리하는 리소스의 관련 웹 ACL에 규칙 그룹을 유지 관리합니다. 규칙 그룹에는 DDoS 공격의 소스로 알려진 IP 주소의 요청 양을 추적하는 속도 기반 규칙이 포함되어 있습니다.
또한, Shield Advanced는 현재 트래픽 패턴을 과거 트래픽 베이스라인과 비교하여 DDoS 공격을 표시할 수 있는 편차를 감지합니다. Shield Advanced는 규칙 그룹에 추가 사용자 지정 AWS WAF 규칙을 생성, 평가 및 배포하여 탐지된 DDoS 공격에 대응합니다.
자동 애플리케이션 계층 DDoS 완화 사용에 관한 주의 사항
다음 목록은 Shield Advanced 자동 애플리케이션 계층 DDoS 완화에 대한 경고 사항을 설명하고 이에 대응하여 취해야 할 조치를 설명합니다.
자동 애플리케이션 계층 DDoS 완화는 최신 버전 AWS WAF(v2)를 사용하여 만든 웹 ACL에서만 작동합니다.
-
Shield Advanced는 애플리케이션의 정상적이고 과거 트래픽의 기준을 설정하는 데 시간이 필요하며, 이를 활용하여 정상 트래픽에서 공격 트래픽을 탐지하고 격리하여 공격 트래픽을 완화합니다. 기준 설정 시간은 웹 ACL을 보호된 애플리케이션 리소스와 연결한 시간으로부터 24시간에서 30일 사이입니다. 트래픽 기준에 대한 자세한 내용은 Shield Advanced를 사용한 애플리케이션 계층 이벤트 감지 및 마이그레이션에 영향을 미치는 요인 목록 섹션을 참조하세요.
자동 애플리케이션 계층 DDoS 완화를 활성화하면 150개의 웹 ACL 용량 단위(WCU)를 사용하는 규칙 그룹이 웹 ACL에 추가됩니다. 이러한 WCU는 웹 ACL의 WCU 사용량에 포함됩니다. 자세한 정보는 Shield Advanced 규칙 그룹으로 애플리케이션 계층 보호 및 의 웹 ACL 용량 단위(WCUs) AWS WAF 섹션을 참조하세요.
Shield Advanced 규칙 그룹은 AWS WAF 지표를 생성하지만 볼 수는 없습니다. 이는 AWS 관리형 규칙의 규칙 그룹과 같이 웹 ACL에서 사용하지만 소유하지 않는 다른 규칙 그룹의 경우와 동일합니다. AWS WAF 지표에 대한 자세한 정보는 AWS WAF 지표 및 차원 단원을 참조하십시오. 이 Shield Advanced 보호 옵션에 대한 자세한 내용은 Shield Advanced를 사용하여 애플리케이션 계층 DDoS 자동화 을 참조하세요.
-
여러 리소스를 보호하는 웹 ACL의 경우 자동 완화는 보호되는 리소스에 부정적인 영향을 미치지 않는 사용자 지정 완화만 배포합니다.
-
DDoS 공격이 시작된 시점부터 Shield Advanced가 사용자 지정 자동 완화 규칙을 적용하는 시점까지의 시간은 각 이벤트에 따라 다릅니다. 일부 DDoS 공격은 사용자 지정 규칙이 배포되기 전에 종료될 수 있습니다. 완화 조치가 이미 마련되어 있을 때 다른 공격이 발생할 수 있으며, 따라서 이벤트 시작부터 이러한 규칙에 의해 완화될 수 있습니다. 또한 웹 ACL 및 Shield Advanced 규칙 그룹의 속도 기반 규칙은 가능한 이벤트로 감지되기 전에 공격 트래픽을 완화할 수 있습니다.
-
Amazon CloudFront와 같은 콘텐츠 배포 네트워크(CDN)를 통해 트래픽을 수신하는 Application Load Balancer의 경우, 해당 Application Load Balancer 리소스에 대한 Shield Advanced의 애플리케이션 계층 자동 완화 기능이 감소합니다. Shield Advanced는 클라이언트 트래픽 속성을 사용하여 애플리케이션으로 들어오는 일반 트래픽으로부터 공격 트래픽을 식별하고 분리하며, CDN은 원래 클라이언트 트래픽 속성을 보존하거나 전달하지 않을 수 있습니다. CloudFront를 사용하는 경우, CloudFront 배포에서 자동 완화 기능을 활성화하는 것이 좋습니다.
자동 애플리케이션 계층 DDoS 완화는 보호 그룹과 상호 작용하지 않습니다. 보호 그룹에 있는 리소스에 대해 자동 완화를 활성화할 수 있지만 Shield Advanced는 보호 그룹 결과에 근거하여 공격 완화를 자동으로 적용하지 않습니다. Shield Advanced는 개별 리소스에 대한 자동 공격 완화 기능을 적용합니다.
목차
