AWS Shield

DDoS攻撃からAWSサービスを守るための保護サービス。

AWS Shieldは、DDoS攻撃からAWS上のアプリケーションを保護するためのサービスです。

• CloudFront配信のDDoS保護
• 公開Webアプリの保護
• 高トラフィック攻撃への備え

• DDoS対策サービスである
• Shield Standardは追加料金なしで利用できる
• Shield Advancedは高度な保護向けである

• CloudFrontやRoute 53と組み合わせてエッジ側で防御する
• WAFとは防御対象が異なる
• Advancedは費用を確認して導入判断する

AWS Shield は、AWS 上のアプリケーションを分散型サービス拒否（DDoS: Distributed Denial of Service）攻撃から保護するマネージドサービスである。Shield Standard と Shield Advanced の 2 つの提供形態があり、Standard はすべての AWS 利用者に追加料金 なしで自動的に適用される。CloudFront・Route 53・AWS Global Accelerator・Elastic Load Balancing といったエッジ・境界サービスを利用するワークロードでは、ネットワーク層 （L3/L4）の SYN フラッド・UDP リフレクション攻撃などへの基本保護が常時有効化されている。 Shield Advanced は有料の上位プランで、保護対象リソース（CloudFront ディストリ ビューション・Route 53 ホストゾーン・ALB / NLB・Global Accelerator・Elastic IP）を 明示的に登録することで利用する。Standard より高度な L3/L4 攻撃緩和、Layer 7 攻撃 （HTTP フラッド等）への対応、攻撃発生時に AWS Shield Response Team（SRT）への 24/7 アクセス、DDoS 攻撃に起因する EC2 / ELB / CloudFront / Route 53 料金スパイクの コスト保護、AWS WAF の利用料金（保護対象リソース分）の組み込み提供などが追加される。 典型的なユースケースは、Shield Standard をベースとした CloudFront + S3 / ALB 配信の 標準的な DDoS 防御、Shield Advanced を契約した大規模公開サービスでの高度な防御と 24/7 サポートの確保である。料金面では Shield Advanced は組織単位で月額固定費が 発生し、1 年間のコミットメントが必要となるため、個人開発や MVP 段階では Shield Standard で対応するのが基本となる。CLF-C02 では Shield Standard と Advanced の違い、 および AWS WAF（アプリケーション層の Web ACL によるルールベース防御）との役割 分担（Shield = DDoS 対策、WAF = アプリケーション層ルール）が頻出論点となる。

• AWS WAF, AWS Shield, AWS Firewall Manager とは（AWS公式ドキュメント）↗
• AWS Shield（AWS公式）↗

最終更新日：2026-06-19