导读

你的运营团队是否知道如何在遭受攻击时做出响应？你在设计架构时是否考虑了DDOS防御策略？本次讲座将指导你完成在遭受攻击时做出反应的步骤。探索你应该利用的亚马逊云科技工具，以及可以遵循的最佳实践，以主动为此类场景做好准备。学习如何使用Amazon CloudFront、Amazon WAF和亚马逊云科技 Shield Advanced等服务来识别和应对DDOS攻击。

演讲精华

以下是小编为您整理的本次演讲的精华。

视频一开始由Etienne设置了一个假设场景:一位SRE管理着一个电子商务网站和API，在周五下午遭受了DDoS攻击。SRE的第一步是召开电话会议，分配角色和职责，与亚马逊云科技支持团队联系，并开始收集指标和日志以了解受影响的系统。SRE拥有一个相当简单的架构，包括负载均衡器、API网关、一些计算实例和Lambda函数。

SRE会启用CloudTrail日志记录，以跟踪事件期间所做的更改，为Elastic Load Balancing和API网关启用CloudWatch指标和日志以监控性能，并设置Route53健康检查来跟踪应用程序的可用性，可能会为API和网站各设置一个。

然后，SRE会添加Route53，这是一种高度可用的DNS服务，可以吸收DNS流量洪峰。接下来，SRE会引入CloudFront进行缓存和边缘DDoS保护。SRE会使用VPC前缀列表功能或最近推出的VPC Origins功能(允许在私有VPC中为CloudFront创建新的负载均衡器进行通信)将应用程序负载均衡器限制为仅CloudFront IP地址。

SRE会在CloudFront上启用Amazon WAF，并使用基于OWASP前10项的托管规则组(如Core Rule Set)、来自Amazon威胁情报的IP信誉列表和匿名IP信誉列表，并启用基本的IP聚合密钥速率限制(如300个请求)，或根据预期的合法客户速率进行设置。

对于API端点，SRE会在WAF中实施另一个针对/api路径的速率限制规则，使用IP地址和Authorization头的API聚合密钥，在阻止模式下评估每300秒50个请求。对于网站，SRE可以将主机头、URI路径和IP作为评估标准，限制为每60秒10个请求，或使用JavaScript挑战。

SRE会监控CloudFront指标，如通过CloudFront的请求、总错误率、Origin Latency CloudWatch指标(用于评估后端健康状况)以及CloudWatch仪表板中的WAF指标(如高阻止率)。SRE会启用CloudFront日志记录以分析请求模式。

在缓解攻击后，SRE会调查CloudFront日志、根据需要修改WAF规则、添加CloudWatch高请求率和高错误率警报，并记录所做的基础设施更改。

Nitin解释说，在边缘，Amazon Shield Standard会检查流量，识别主要发起者并根据可用的计算和网络资源应用智能的、资源感知的速率限制。它可防护已知威胁，如来自可疑UDP端口的流量，并执行协议感知缓解。

例如，Shield在远程边缘使用SYN代理直接缓解SYN洪水，通过代理TCP握手。对于区域工作负载，Shield还根据配置(如来自网络ACL的地理阻止)应用基于资源的缓解措施，并过滤流向未被服务(如Global Accelerator)侦听的端口的流量。

CloudFront内置了DDoS防御功能，通过查看主要发起者、请求熵与正常Web流量模式的差异以及执行协议感知缓解，在5到10秒内缓解IP和第7层攻击。CloudFront缓解了一次高达1.55亿请求/秒的HTTP/2快速重置攻击，并在不到7分钟内吸收了34亿请求攻击的90%以上，而不影响应用程序。

亚马逊云科技使用复制易受攻击应用程序、开放代理、物联网设备等的全球蜜罐基础架构(每天看到数十亿次交互)，收集第一手威胁情报。亚马逊云科技分析恶意IP、有效负载、客户之间的模式等工件，生成用于边缘缓解威胁的威胁情报。今年，这种情报阻止了数十万次攻击。

然而，亚马逊云科技无法阻止100%的攻击，以避免由于误报而影响合法流量。客户需要使用WAF、Shield Advanced、Firewall Manager、Bot Control和Fraud Control等服务构建分层DDoS弹性。他们应该使用基于速率的控制、IP信誉列表、托管规则组、地理阻止、有效负载检查，并定期审查和测试规则。

Etienne建议使用CloudFront(免费层和免费SSL证书)、考虑可选的托管Shield Advanced服务(提供24/7响应团队)、使用Firewall Manager在亚马逊云科技账户/VPC范围内推广WAF策略、进行DDoS测试、审查事件响应流程，并与Amazon Shield响应团队合作。

我们正处在 Agentic AI 爆发前夜。 2025 亚马逊云科技中国峰会提出，企业要从 " 成本优化 " 转向 " 创新驱动 " ，通过完善的数据战略和 AI 云服务，把握全球化机遇。亚马逊将投入 1000 亿美元在 AI 算力、云基础设施等领域，通过领先的技术实力和帮助“中国企业出海“和”服务中国客户创新“的丰富经验，助力企业在 AI 时代突破。