AWS Shield

1. 서비스 개요
2. 고객 과제
3. 주요 이점
4. 동작 방식
5. 주요 기능
6. 비교와 선택 기준
7. 사용 사례
8. 레퍼런스 아키텍처
9. 비용
10. 시작하기
11. 다음 단계

AWS Shield는 네트워크 보안 구성 문제를 식별하고, Layer 3/4/7에 걸친 DDoS 공격을 자동으로 탐지·완화합니다. Shield Standard는 모든 AWS 고객에게 추가 비용 없이 제공되며, Shield Advanced는 대규모·정교한 공격에 대한 상시 자동 완화와 Shield Response Team(SRT)의 24/7 전문 지원을 포함합니다.

L3/L4/L7

보호 대상 네트워크 계층

1,000개

리소스 유형별 Shield Advanced 보호 가능 리소스 수

50B 요청/월

Shield Advanced 구독에 포함된 AWS WAF 요청 수

1. 1

   Shield Standard: 상시 인라인 완화

   모든 AWS 고객에게 자동 적용됩니다. 상시 네트워크 흐름 모니터링으로 수신 트래픽을 검사하고, 트래픽 시그니처·이상 탐지 알고리즘을 조합하여 일반적인 Layer 3/4 DDoS 이벤트(SYN flood, UDP flood, reflection 공격 등)를 실시간으로 탐지·완화합니다. deterministic packet filtering과 priority-based traffic shaping 기법을 사용합니다.

2. 2

   Shield Advanced: 애플리케이션 맞춤 탐지 및 고급 완화

   보호 대상 리소스(EC2, ELB, CloudFront, Global Accelerator, Route 53)의 트래픽 패턴을 기준선으로 학습하여 HTTP flood, DNS query flood 등 이상 트래픽을 탐지합니다. Route 53 상태 확인과 연동한 health-based detection으로 더 낮은 트래픽 임계값에서도 공격을 감지합니다. 고급 라우팅 기법으로 추가 완화 용량을 자동 배포합니다.

3. 3

   Application layer (L7) DDoS protection Managed Rule

   Shield Advanced 구독에 포함된 AWS 관리형 규칙 그룹입니다. 활성화 후 수 분 내에 트래픽 기준선을 수립하고, 머신 러닝 모델로 정상 패턴과의 편차를 탐지합니다. 이상 트래픽 발생 시 수 초 내에 차단 규칙을 자동 적용합니다. CloudFront, Application Load Balancer, API Gateway에서 사용할 수 있습니다.

4. 4

   Shield network security director (프리뷰)

   AWS 리소스와 구성을 분석하여 네트워크 토폴로지를 시각화하고, AWS 모범 사례 및 위협 인텔리전스 기반으로 보안 구성 문제를 식별합니다. AWS WAF, VPC 보안 그룹, VPC 네트워크 ACL을 분석 대상으로 지원하며, Amazon Q Developer와 연동하여 자연어로 보안 상태를 질의할 수 있습니다. 분석 결과는 완료 후 90일간 유효합니다.

인터넷에서 유입되는 트래픽은 Amazon CloudFront를 통해 수신됩니다. CloudFront 배포에 Shield Advanced 보호를 활성화하고, AWS WAF 웹 ACL을 연결하여 L7 DDoS protection Managed Rule을 적용합니다. CloudFront 뒤에 Application Load Balancer(ALB)를 오리진으로 배치하고, ALB가 모든 트래픽을 CloudFront에서만 수신하는 경우 CloudFront에만 Shield Advanced 보호를 활성화하면 됩니다. Route 53 상태 확인을 Shield Advanced 보호 리소스에 연결하여 health-based detection을 활성화합니다. Protection group으로 여러 CloudFront 배포를 묶어 애플리케이션 단위로 탐지·완화 범위를 관리합니다. DDoS 이벤트 발생 시 Amazon CloudWatch를 통해 실시간 알림을 수신하고, SRT에 proactive engagement를 설정하면 SRT가 먼저 연락합니다.

AWS Management Console에서 Shield network security director 콘솔을 열고 Start Network Analysis를 선택합니다. IAM 권한 기반으로 계정 내 리소스(CloudFront 배포, ALB, API Gateway, VPC, ENI, 서브넷, EC2 인스턴스)를 스캔합니다. 리소스 간 라우팅 경로와 인터넷 노출 여부를 분석하여 네트워크 토폴로지를 생성합니다. AWS WAF, VPC 보안 그룹, VPC 네트워크 ACL의 구성을 AWS 모범 사례 및 위협 인텔리전스와 대조하여 보안 문제를 식별합니다. 결과는 심각도별 우선순위 대시보드에 표시되며, 각 문제에 대해 서비스 및 규칙 세트 기반의 단계별 개선 권고가 제공됩니다. Amazon Q Developer를 통해 자연어로 보안 상태를 질의할 수 있습니다. 분석 결과는 90일간 유효합니다.

Shield Standard는 모든 AWS 고객에게 추가 비용 없이 자동 적용됩니다. Shield Advanced는 1년 구독 약정이 필요하며, 월정액과 데이터 전송량(Data Transfer Out) 기반 사용료가 부과됩니다. Shield Advanced 구독에는 월 최대 500억 건의 AWS WAF 요청(기본 1,500 WCU)이 포함되며, 초과분은 별도 과금됩니다. Shield network security director는 프리뷰 기간 중 추가 비용 없이 사용할 수 있습니다.

Shield Advanced 월정액

구독 계정(payer account) 단위로 월정액이 부과됩니다. 해당 payer account 또는 연결된 계정 중 하나 이상이 구독되어 있으면 한 번만 청구됩니다.

Data Transfer Out 사용료

Shield Advanced로 보호되는 CloudFront, ELB, EC2, Global Accelerator 리소스의 Data Transfer Out(GB 단위)에 따라 사용료가 부과됩니다.

AWS WAF 요청 (포함분 초과 시)

Shield Advanced 구독에 월 최대 500억 건의 WAF 요청이 포함됩니다. 초과 요청 및 기본 1,500 WCU를 초과하는 웹 ACL의 요청은 별도 과금됩니다. DDoS로 탐지된 요청은 포함분에서 차감되지 않습니다.

단가는 리전마다 다릅니다. https://aws.amazon.com/shield/pricing/

1. 1

   1단계: 보호 대상 리소스 식별 및 아키텍처 검토

   인터넷에 노출된 애플리케이션의 리소스(EC2, ELB, CloudFront, Global Accelerator, Route 53)를 식별합니다. CloudFront를 오리진 앞에 배치하면 인프라 계층 보호 범위가 확대됩니다. Shield network security director(프리뷰)를 사용하여 네트워크 토폴로지와 보안 구성 문제를 사전에 파악할 수 있습니다.

2. 2

   2단계: Shield Advanced 구독 및 보호 활성화

   Shield Advanced를 구독하고(1년 약정), 보호 대상 리소스에 Shield Advanced 보호를 활성화합니다. 콘솔 또는 API를 통해 리소스를 추가할 수 있습니다. CloudFront 뒤에 ALB가 있고 모든 트래픽이 CloudFront를 경유하는 경우, CloudFront에만 보호를 활성화하면 됩니다.

3. 3

   3단계: AWS WAF 및 L7 DDoS protection Managed Rule 구성

   보호 대상 CloudFront, ALB, API Gateway에 AWS WAF 웹 ACL을 연결하고, L7 DDoS protection 관리형 규칙 그룹을 활성화합니다. 민감도 설정과 특정 URI 경로 검사 옵션을 애플리케이션에 맞게 조정합니다.

4. 4

   4단계: 상태 확인 연동 및 Protection group 구성

   Route 53 상태 확인을 생성하여 Shield Advanced 보호 리소스에 연결합니다. 이를 통해 health-based detection이 활성화되어 더 낮은 임계값에서 공격을 감지합니다. 관련 리소스를 Protection group으로 묶어 애플리케이션 단위로 탐지·완화·리포팅을 관리합니다.

5. 5

   5단계: 모니터링, SRT 연동 및 조직 전체 보호 확장

   Amazon CloudWatch를 통해 DDoS 이벤트 알림을 구성합니다. Proactive engagement를 활성화하여 SRT가 이벤트 발생 시 먼저 연락하도록 설정합니다. AWS Firewall Manager를 사용하여 조직 내 모든 계정에 Shield Advanced 및 AWS WAF 보호 정책을 일괄 적용합니다.