如何保护AWS API网关终端节点免受DDos攻击？

Question

最近，我一直在使用AWS API网关来创建API，并使用API​​密钥和Cognito（OAuth）保护它。

有一天，我发现我的API已被访问了1万次，由于攻击者无法访问它而失败了。

我的问题是：亚马逊是否会对未经授权的此类api调用收费？如果他们收费，那么如何保护它。据我了解，即使我将WAF放在前面，我的API网址仍会公开....

任何帮助表示赞赏...

Answer 1

如果您使用以下授权类型保护您的终端节点：AWS_IAM、CUSTOM 和 COGNITO_USER_POOLS，则不会为失败的请求向 API Gateway 收费。请参考定价文档。还参考具有 Lambda 集成的安全 AWS API 网关

Answer 2

您所描述的是一种DDoS攻击。

这是您需要做的来保护您API Gateway Endpoint免受DDoS攻击。

1) Create your API
2) Setup CloudFront distribution to your API
3) Front your CloudFront distribution with AWS WAF.
4) Create ACL rule and set requester limit to what you deem appropriate.
5) Test.

您仍然需要使用AWS_IAM或Cognito执行授权部分。

这是详细说明步骤的文档：

https://aws.amazon.com/blogs/compute/protecting-your-api-using-amazon-api-gateway-and-aws-waf-part-i/