AWS 自动扩展和 DDoS 攻击

Question

我在 AWS 上创建了一个带有自动缩放组的 ELB，我想知道在发生 DDoS 攻击时自动缩放是如何工作的？它会扩展到我设定的限制吗？我如何保护我的 AWS 基础设施免受此类攻击？非常感谢。

Answer 1

DDOS 有很多种，自动扩展组不会从正常流量中隐式识别 DDOS 攻击。

假设您的扩展策略设置正确，您的自动扩展组可能会在 DDOS 攻击事件中增长（实例数量），因为实例正在接收大量流量和过载。（我说可能是因为所有应用程序对大量和各种流量的反应略有不同。我曾处理过在没有额外工程的情况下无法很好地与扩展策略配合使用的应用程序。此外，如果您的实例数已达到上限，则不应继续成长）。

问题是没有什么可以区分真实流量和非真实流量，所以你的服务仍然会充斥着“假”的东西。总体目标是在 DDOS 流量到达您的应用程序实例之前对其进行“过滤”。

话虽如此，AWS 有一些服务可以帮助抵御 DDOS 攻击：

https://aws.amazon.com/answers/networking/aws-ddos-attack-mitigation/

具体来说，AWS Shield 和 AWS WAF 将允许您使用模式匹配或地理定位阻止等工具来拒绝有问题的不需要的流量攻击您的基础设施。不同的服务使用不同的缓解技术。如果您实施其中一些服务，它们将帮助您有效响应并降低成本，但我知道没有“一刀切”的方法。

根据预算，您可以使用其他组织和应用程序来为自己做好准备。对于这是您的第一个应用程序或您的组织刚刚起步的人，我不会太担心 DDOS 缓解。拥有并适应 Web 应用程序防火墙/盾牌是获得许多其他好处的良好起点，这些好处可能与早期更相关。（良好的安全卫生，熟悉应用程序流量等）