<p style="text-align: center;"><a href="/misc/goto?guid=4958985261293967350" title="亚马逊"><img alt="亚马逊宣布AWS Shield阻止分布式拒绝服务攻击" src="https://simg.open-open.com/show/33128bf3f227439b83fb8b45dbe41bfe.gif" /></a></p>    <p>在最近的 2016 年 re:Invent 大会上，亚马逊<a href="/misc/goto?guid=4958996341416015717">宣布</a>了一项叫做 AWS Shield 的新服务，为客户提供针对分布式拒绝服务（DDoS）攻击的防护。</p>    <p>该声明就在亚马逊受 DDos 攻击<a href="/misc/goto?guid=4958996341546802963">影响</a>的一个月后，这次攻击攻击了亚马逊使用的一个叫 Dynamic Network Services（Dyn）的 DNS 提供商。这一攻击影响了亚马逊位于北弗吉利亚和爱尔兰的数据中心的一些服务。为了限制对客户的影响，亚马逊通过其他 DNS 提供商重新路由流量。</p>    <p>DDoS 攻击越来越频繁。在 Akamai 发布的<a href="/misc/goto?guid=4958996341664352426">第一季度互联网安全状态报告</a>中，Akamai 引用到：</p>    <blockquote>     <p>分布式拒绝服务（DDoS）攻击同比增长了 125%。</p>    </blockquote>    <p>Jeff Barr 是 AWS 的首席福音传道者。他在最近的一篇博文中<a href="/misc/goto?guid=4958996341416015717">描述</a>了影响组织的三种常见 DDoS 攻击。它们包括：</p>    <blockquote>     <ul>      <li>应用层攻击由结构良好但恶意的请求（HTTP GET 请求和 DNS 查询比较流行）构成。这些请求能消耗应用资源。例如，打开多个 HTTP 连接，然后花数秒甚至几分钟读取响应，会消耗过多的内存，组织合法请求被服务。</li>      <li>状态表耗尽攻击滥用有状态协议，通过消耗每个连接的大量资源给防火墙和负载均衡器造成压力。</li>      <li>容量耗尽攻击通过超过网络能处理的流量冲击或者通过发起伪造请求扰乱网络。大量伪造请求会让毫无戒备的受害者收到大量底层响应（也叫反射攻击）。</li>     </ul>    </blockquote>    <p>在 <a href="/misc/goto?guid=4958996341779272364">re:Invent 的主旨演讲</a>中，亚马逊 CTO Werner Vogels 将这些攻击的分布分解为：</p>    <ul>     <li>64% 的 DDoS 攻击是容量耗尽攻击</li>     <li>18% 是应用层攻击</li>     <li>18% 是状态表耗尽攻击</li>    </ul>    <p style="text-align:center"><img alt="亚马逊宣布AWS Shield阻止分布式拒绝服务攻击" src="https://simg.open-open.com/show/4843e5bd5ee2fe1d520b4117dc53e496.png" /></p>    <p style="text-align:center">图片来源：（截屏）<a href="/misc/goto?guid=4958996341899258562">https://youtu.be/ZDScBNahsL4?t=52m</a></p>    <p>为了保护客户不受这些类型的 DDoS 攻击，亚马逊发布的 AWS Shield 是一个分为两层的托管服务：</p>    <ul>     <li>标准 AWS Shield，所有客户都可使用，无额外付费。亚马逊<a href="/misc/goto?guid=4958996341416015717">声称</a>标准 AWS Shield 能“现在能阻止 96% 的最常见攻击，包括 SYN/ACK floods、反射攻击和慢 HTTP 读”。这个防护会自动、透明地应用到弹性负载均衡器、CloudFront 分布和 Route 53 资源。</li>     <li>高级 AWS Shield 是在标准 AWS Shield 基础上提供额外防护的收费服务。这些额外防护包括针对网络层（第 3 层）、传输层（第 4 层）和应用层（第 7 层）的智能 DDoS 攻击侦测。另外，客户在遭受 DDoS 攻击时可以求助 7 天 24 小时的 DDoS 响应团队以及额外的实时指标和报表。高级 AWS Shield 也为弹性负载均衡资源、CloudFront 和亚马逊 Route 53 承载区提供了成本保护。</li>    </ul>    <p style="text-align:center"><img alt="亚马逊宣布AWS Shield阻止分布式拒绝服务攻击" src="https://simg.open-open.com/show/3080cfbfd61a42b4e1123b34d7040fed.png" /></p>    <p style="text-align:center">图片来源：（截屏）<a href="/misc/goto?guid=4958996341899258562">https://youtu.be/ZDScBNahsL4?t=52m</a></p>    <p>亚马逊也给客户提供了一些<a href="/misc/goto?guid=4958996342027403920">指导</a>，告诉他们哪一级的服务适合他们。对于具有安全特长的客户，如果愿意部署额外的 Web 应用程序防火墙（WAF）作为深度防护策略的一部分，选择标准 AWS Shield 可能比较合适。标准 AWS Shield 也可能适合已有监控和通知平台的客户。</p>    <p>对于行业内经常受 DDoS 攻击的客户，如<a href="http://www.propertycasualty360.com/2014/09/12/5-most-targeted-industries-for-ddos-attacks?t=information-security&page=4">媒体与娱乐</a>行业，又希望有一个托管服务作额外的防护，高级 AWS Shield 是一个更好的选择。作为这项高级服务的一部分，WAF 不需要额外付费。高级客户也会收到广泛的报表、通知和针对第 3 层、第 4 层和第 7 层 DDoS 攻击的攻击后分析以及避免与 DDoS 攻击相关的意外消费费用。</p>    <p>来自: <a href="/misc/goto?guid=4958996342255301481" id="link_source2">InfoQ</a></p>