AWS Shieldとは、Amazon Web Services（AWS）上のシステムをDDoS攻撃から守るサービスです。追加料金なしのStandardと、有料のAdvancedの2段階があります。
今日やることは、インターネットに公開しているAWSの入口を書き出すことです。CloudFront、ロードバランサー、Route 53、固定のIPアドレスを並べ、それぞれが止まったときに何の業務が止まるかを横に書きます。
業務が止まる行がなければ、Advancedの検討は要りません。行があるなら、1時間止まった場合の損失を金額で見積もります。
StandardとAdvancedはどこが違う？
StandardはAWSの料金ページにあるとおり、すべての利用者に追加料金なしで提供され、有効にする操作も要りません。Advancedは申し込みが要る有料サービスです。
| 項目 |
Standard |
Advanced |
| 料金 |
追加料金なし |
月額3,000米ドル＋転送の従量料金 |
| 契約 |
なし |
1年間、毎年自動更新 |
| 主な保護の範囲 |
よくあるネットワーク層と通信層の攻撃 |
上に加え、大規模で高度な攻撃の検出と緩和 |
| アプリケーション層 |
AWS WAFと組み合わせる（WAFは別料金） |
AWS WAFの基本料金が一定の範囲まで含まれる |
| 攻撃中の支援 |
専門チームの支援はない |
対応チームSRTへ24時間365日連絡できる |
| 料金の急上昇への備え |
なし |
DDoSコスト保護を申請できる |
保護の範囲はAWSのよくある質問によります。Standardは、UDPフラッドやTCP SYNフラッドのような、頻繁に起きるインフラ層の攻撃を自動で防ぐものです。Webへのリクエストを大量に送るアプリケーション層の攻撃には、AWS WAFを組み合わせます。
SRTへの連絡には、AWSのビジネスまたはエンタープライズのサポート契約も要ります。Advancedを申し込むだけでは足りないので、予算を組むときに一緒に確かめてください。
Advancedの料金は何で決まる？
固定費と従量料金の2つです。固定費は組織あたり月額3,000米ドルで、12か月で3万6,000米ドルになります。円での負担は為替で動くので、社内の稟議では算出した日のレートを添えます。
従量料金は、保護するリソースのデータ転送量に応じてかかります。AWSの料金例では、ロードバランサーから月1,000GB転送すると50米ドルが加わり、合計は3,050米ドルです。同じ転送量をCloudFront経由にした例では25米ドルが加わります。これらはAWS本体の通常料金とは別にかかります。
契約の前に確かめる条件
- 1年間の契約が前提で、DDoSコスト保護などの特典はその履行が条件
- 自動更新を止める連絡は、更新日の30日前から5日前までの期間に行う
- 料金は支払者アカウントごとにかかる。同じ組織の配下なら1つの料金で複数のアカウントをまとめられる
AWSの判断の資料によれば、Advancedで保護したリソースでは、AWS WAFの基本料金も一定の範囲まで契約に含まれます。対象はWeb ACL、ルール、1,500 WCUまでのリクエスト検査です。Bot ControlやCAPTCHAなどは含まれません。
アプリケーション層のDDoS防御については、月500億リクエストまでが追加料金なしです。この規模に届く中小企業は多くないはずで、WAFの料金が含まれることだけを理由に申し込む必要はありません。WAFを単体で使う場合の費用は、AWS WAFの料金例で月30米ドルの計算が示されています。条件を変えると金額も変わるので、自社のリクエスト数で試算します。
Standardで足りるのはどんな場合？
判断の軸は、会社の規模ではなく、そのシステムが止まったときの損失です。次の表は、AWSの資料をもとにした私たちの整理です。
| 自社の状況 |
判断 |
| 会社案内や採用のサイトで、数時間止まっても受注に直接響かない |
Standardで足りる |
| 問い合わせフォームが止まると困るが、電話やメールに逃がせる |
Standard＋WAF＋止まったときの案内を用意 |
| 受発注や予約が止まると売上や取引に直接響く |
損失を見積もり、Advancedも検討する |
| 攻撃時に自社だけで対応できず、深夜も止められない |
Advancedの支援体制が候補になる |
AWSの資料は、次のいずれかが要るアプリケーションでAdvancedを検討するよう示しています。
- 利用者にとっての可用性を確保したい
- 攻撃を受けたときに、緩和の専門家へすぐ連絡したい
- 攻撃をAWSに把握してもらい、通知と社内への引き継ぎを受けたい
- 攻撃時も含めて、クラウドの費用を予測できるようにしたい
たとえば、部品メーカーが取引先向けの受発注サイトをAWSで動かしている場合で考えます。サイトが止まると電話とFAXで受けられる会社なら、代替の手順を整えるほうが先です。深夜も海外の拠点から注文が入り、手作業に切り替えられない会社なら、止まる時間の損失が年3万6,000米ドルを超えるかを計算する価値があります。
実際の攻撃では、止まる損失だけでなく、通信量が増えた分の料金も問題になります。Advancedのコスト保護は、保護対象の使用量が攻撃で急増した場合に、サポートを通じて料金の調整を申請できる仕組みです。自動で全額が戻ると読まず、申請が要るものとして考えてください。
Advancedを申し込む前にやることは？
攻撃に耐えやすい構成と、止まった場合の準備は、Advancedの有無に関係なく必要です。DoSとDDoSで防ぎ方がどう変わるかを踏まえて、次の順に見直します。
- 入口をCloudFrontなどの配信サービスへ寄せる。AWSはCloudFrontとRoute 53の利用をDDoS耐性のベストプラクティスとして挙げている
- Webの入口にAWS WAFの設定を入れ、誤検知を確かめてから遮断する
- 請求アラートと、通信量の異常を知らせる通知を担当者へ送る
- サイトが止まったときの案内先と、取引先への連絡手順を決める
ここまで済ませても損失の大きさが残るなら、Advancedの検討に進みます。AWS以外の選択肢と比べたいときは、DDoS対策サービスの比較で仕様を並べて見てください。
Webアプリケーションへの攻撃は別の対策です。WAFの製品比較で、AWS WAF以外の製品も含めて確かめられます。クラウドの設定ミスまで一緒に見たい場合は、クラウドの設定と脅威を見るCNAPPの比較が入口になります。
AWSを使っていない会社は関係ない？
AWS Shieldが守るのは、AWSのリソースです。料金ページも、Advancedは契約者が所有して管理するAWSリソースの保護に限ると書いています。レンタルサーバーにある会社のサイトへ、AWS Shieldを直接かけることはできません。
例外に見えるのがCloudFrontです。よくある質問によれば、AWS Shieldは、AWS外のサーバーを配信元にしたCloudFrontに対応しています。ただし、配信元のIPアドレスが知られていると、CloudFrontを通らずに直接狙われます。当時の内閣サイバーセキュリティセンターの注意喚起も、配信サービスを使うならIPアドレスを隠す必要があると述べています。
AWS以外の環境なら、回線事業者やサーバー会社のDDoS対策、ほかの配信サービスを確かめます。全体の見取り図は、Webサイトとサーバーのセキュリティにまとめています。
料金と仕様は2026年11月に確認したものです。AWSの案内は変わることがあるので、契約の前に料金ページを見直してください。
