AWS Shield

保護 AWS 服務免於 DDoS 攻擊的防護服務。

AWS Shield 是保護 AWS 上應用程式免於 DDoS 攻擊的服務。

• CloudFront 傳遞的 DDoS 防護
• 公開 Web 應用程式的保護
• 對高流量攻擊的準備

• 屬於 DDoS 防護服務
• Shield Standard 可免額外費用使用
• Shield Advanced 面向進階防護

• 與 CloudFront 或 Route 53 結合,在邊緣端防禦
• 與 WAF 的防護對象不同
• Advanced 須確認費用後再決定導入

AWS Shield 是保護 AWS 上應用程式免受分散式阻斷服務(DDoS: Distributed Denial of Service)攻擊的託管服務。有 Shield Standard 與 Shield Advanced 兩種提供形態,Standard 對所有 AWS 使用者自動套用且無額外費用。在使用 CloudFront、Route 53、AWS Global Accelerator、Elastic Load Balancing 等邊緣、邊界服務的工作負載中,針對網路層(L3/L4)的 SYN flood、UDP 反射攻擊等的基本保護會持續啟用。 Shield Advanced 是付費的上位方案,需明確登錄保護對象資源(CloudFront 發佈、Route 53 託管區域、ALB / NLB、Global Accelerator、Elastic IP)後使用。會追加比 Standard 更進階的 L3/L4 攻擊緩解、針對 Layer 7 攻擊(HTTP flood 等)的對應、攻擊發生時對 AWS Shield Response Team(SRT)的 24/7 存取、因 DDoS 攻擊導致的 EC2 / ELB / CloudFront / Route 53 費用突增的成本保護、AWS WAF 的使用費用(保護對象資源部分)的內建提供等。 典型使用案例為以 Shield Standard 為基礎的 CloudFront + S3 / ALB 發佈的標準 DDoS 防禦、簽約 Shield Advanced 的大規模公開服務中的進階防禦與 24/7 支援的確保。費用方面 Shield Advanced 會以組織單位產生月固定費,需要 1 年的承諾,因此個人開發或 MVP 階段以 Shield Standard 對應為基本。CLF-C02 中,Shield Standard 與 Advanced 的差異,以及與 AWS WAF(L7 透過 Web ACL 的規則式防禦)的角色分擔(Shield = DDoS 對策、WAF = 應用程式層規則)為常見論點。

• 什麼是 AWS WAF, AWS Shield, AWS Firewall Manager (AWS 官方文件)
• AWS Shield (AWS 官方)

最後更新日: 2026-06-07