AWS Shield
本文缩写（英文全称与中文含义）
| 缩写 | 英文全称／名称 | 中文含义 |
|---|---|---|
| ALB | Application Load Balancer | 应用负载均衡器 |
| API | Application Programming Interface | 应用程序编程接口 |
| ARN | Amazon Resource Name | AWS 资源名称，用于唯一标识资源 |
| AWS | Amazon Web Services | 亚马逊云服务 |
| DDoS | Distributed Denial of Service | 分布式拒绝服务攻击 |
| EC2 | Elastic Compute Cloud | AWS 云服务器服务 |
| ECS | Elastic Container Service | AWS 容器编排服务 |
| EIP | Elastic IP address | AWS 弹性公网 IP 地址 |
| EKS | Elastic Kubernetes Service | AWS 托管 Kubernetes 服务 |
| HTTP | Hypertext Transfer Protocol | 超文本传输协议 |
| IaC | Infrastructure as Code | 基础设施即代码 |
| IP | Internet Protocol | 网际协议；IP 地址是网络寻址标识 |
| NLB | Network Load Balancer | 网络负载均衡器 |
| OU | Organizational Unit | 组织单元 |
| S3 | Simple Storage Service | AWS 对象存储服务 |
| SQL | Structured Query Language | 结构化查询语言 |
| TCP | Transmission Control Protocol | 传输控制协议 |
| UDP | User Datagram Protocol | 用户数据报协议 |
| USD | United States Dollar | 美元货币代码 |
| WAF | Web Application Firewall | Web 应用防火墙 |
1. 定位与版本#
AWS Shield 提供 DDoS 防护。WAF 负责请求级规则，两者配合使用。
| 项目 | Shield Standard | Shield Advanced |
|---|---|---|
| 开通 | 默认启用，无额外 Shield Standard 费用 | 付费订阅，并显式添加保护资源 |
| 主要能力 | 常见网络层/传输层 DDoS 自动防护 | 增强检测与缓解、资源可见性、响应支持等 |
| 应用层 | 仍需 WAF、容量与应用防滥用设计 | 配合 WAF 应用层防护与 Anti-DDoS 规则 |
| 应急支持 | 常规支持渠道 | SRT，需满足对应 Support plan 条件 |
| 费用保护 | 无 Advanced 的 DDoS cost protection | 符合条款时可申请指定费用抵扣，不是无条件免单 |
Shield 不提供 SQL 注入规则、不替代私有网络边界，也不保证应用在任意请求规模下可用。服务概览
2. Advanced 支持资源#
| 资源 | 保护对象 |
|---|---|
| CloudFront | distribution |
| Route 53 | hosted zone |
| Global Accelerator | standard accelerator |
| ALB / Classic Load Balancer | load balancer |
| EC2 | 通过绑定的 Elastic IP |
| NLB | 通过关联的 Elastic IP，不直接把 NLB ARN 当作同类保护对象 |
不是订阅后所有资源自动进入 Advanced；需创建 protection 或通过 Firewall Manager policy 纳管。API Gateway、S3、ECS、EKS、Lambda 不作为本表同类对象直接注册；保护其支持的公共入口，并限制绕过路径。保护资源清单
3. 功能与用法#
| 能力 | 用法 | 边界 |
|---|---|---|
| Resource protection | 给业务入口注册 protection | 两个 Region 的区域入口分别纳管 |
| Protection groups | 按应用或资源类型聚合保护资源与检测基线 | 不等于自动创建缺失的单资源 protection |
| Health-based detection | 关联 Route 53 health check，结合应用健康判断 | 使用真实业务健康路径，避免只检查静态首页 |
| WAF Anti-DDoS | 为受支持入口配置托管应用层检测与缓解 | 不能替代其他 WAF 漏洞防护规则 |
| SRT | DDoS 事件中向 Shield Response Team 升级 | 满足 Support plan、授权和事件条件 |
| Proactive engagement | 配置联系人、健康检查和权限，由 SRT 主动联系 | 不是只填一个邮箱就完成配置 |
| DDoS cost protection | 按条款申请与事件相关的合资格扩容费用抵扣 | 保存事件和账单证据，核对期限与资源资格 |
| CloudWatch / 事件详情 | 关联检测、攻击量与业务可用性 | 检测到事件不必然等于业务已经中断 |
| Firewall Manager | 在 Organizations 内统一注册保护与合规管理 | 服务角色、组织权限及相关前置条件需完成 |
SRT 的 Support plan 资格以当前官方要求为准，不假定 Basic / Developer 可用。支持条件
4. 应用层防护的当前配置#
核对日期：2026-09-21。AWS 已公布将 Shield Advanced 的旧式 application-layer automatic mitigation 迁移到 AWSManagedRulesAntiDDoSRuleSet。新部署优先按当前 WAF Anti-DDoS 方式配置，旧账户检查现有自动迁移状态。
迁移要点：记录旧规则、检查是否已有新组、先观察 Count、测试浏览器与 API 客户端、确认新保护生效后按官方步骤移除旧机制并同步 IaC。不要同时删除两套保护。具体阶段日期可能调整，应以 官方迁移公告 为准。
Anti-DDoS 也可独立作为 WAF 功能使用，不要求先购买 Shield Advanced；它不要求旧机制相同的健康检查配置。健康检查仍可用于 Shield 的健康检测与主动联系场景。
5. 监控和响应#
| 观察项 | 用途 |
|---|---|
AWS/DDoSProtection: DDoSDetected |
单资源检测告警起点 |
DDoSAttackBitsPerSecond / DDoSAttackPacketsPerSecond |
网络与传输层攻击流量 |
AWS/WAFV2 的 Anti-DDoS、Block、Challenge 等指标 |
当前应用层检测与缓解效果 |
| ALB 5xx、延迟、健康目标、应用成功率 | 判断实际业务影响 |
| 容量、并发、数据库连接、成本 | 防止请求洪峰穿透到瓶颈和费用风险 |
CloudFront、Route 53 和 protection group 的 Shield 指标查看 us-east-1；其他资源查看资源 Region。非事件期指标可能稀疏，缺少数据不能独立证明业务健康。Shield metrics
响应顺序：确认业务影响 → 判断网络层或应用层 → 检查 WAF/Shield 已执行的缓解 → 必要时添加精准临时规则并联系 SRT → 观察业务恢复 → 撤销临时措施、保存证据。不要在攻击中大范围 Allow 或关闭 WAF。
6. 订阅与架构#
核对日期：2026-09-21。Shield Advanced 标准订阅价格为每月 3,000 USD，最低一年承诺，另有适用用量费用；组织计费、包含的 WAF 用量及高级功能收费需按当前条款确认。删除 protection 不会取消订阅或解除承诺。Shield 价格
常见组合：
- 普通网站：CloudFront + WAF 基线 + Shield Standard。
- 高价值公网应用：在上述基础上评估 Advanced、SRT、健康检查、告警和费用保护。
- 非 HTTP 服务：Global Accelerator / 受保护 EIP 与网络层设计，不能用 WAF 检查任意 TCP/UDP。
- 企业多账号：Firewall Manager 下发策略；灾备区入口在平时完成纳管，不到故障时临时开通。
7. Network security director#
截至核对日期，Shield network security director 仍为 public preview，用于组织范围网络安全态势分析与整改建议；不是 Standard/Advanced 的另一个实时阻断开关。
由 Organizations 管理账号启用并委派成员账号管理员，再按实验 OU/账号和 Region 建立策略。先验证发现项和权限范围，再扩展覆盖。启用流程与预览状态