L7 DDoS
Anti-DDoS 관리형 규칙 그룹
L7 보호는 AWS WAF AWSManagedRulesAntiDDoSRuleSet(50 WCU)으로 옮겨 가고 있습니다. 헬스 체크 없이 수 분 안에 기준선을 잡고, Block · Challenge 민감도를 따로 정합니다. 기존 자동 L7 완화(150 WCU)는 2026년 10월 25일부터 자동 전환되고 2027년 1월 29일에 지원이 끝납니다.
AWS Shield · 관리형 DDoS 보호
DDoS는 엣지에서 막고, 큰 공격엔 전문 팀이 함께합니다
AWS Shield는 AWS에서 실행되는 애플리케이션을 DDoS 공격으로부터 보호하는 관리형 서비스입니다. 모든 고객에게 L3 · L4 보호가 추가 비용 없이 자동 적용되고, Shield Advanced를 구독하면 지정한 리소스에 L7 자동 완화, Shield Response Team 지원, 비용 보호가 더해집니다.
Shield Advanced · protectionsaccount 예시
DDoS event detected
CloudFront · HTTP request flood · 자동 완화 중
- CloudFront distributionwww.example.com · web ACL 연결
Anti-DDoShealth - Route 53 hosted zoneexample.com
L3/L4 - Global Acceleratorstandard accelerator · UDP 게임 서버
healthgroup: SUM - Application Load BalancerCloudFront 오리진
보호 생략
진입점 리소스만 보호하면 같은 트래픽에 데이터 전송 사용료가 두 번 붙지 않습니다.
2
티어 (Shield Standard · Shield Advanced)
L3 · L4 · L7
Shield Advanced가 다루는 공격 계층
1,000
계정당 리소스 유형별 기본 보호 한도
24 × 7
Shield Response Team (Business · Enterprise Support 필요)
Why Shield
DDoS 방어를 직접 키우지 않고 AWS 규모를 빌립니다
DDoS 공격은 대역폭을 채우거나(L3), 연결 상태를 고갈시키거나(L4), 정상처럼 보이는 요청을 쏟아붓습니다(L7). Shield는 AWS 엣지와 리전 인프라에서 이 트래픽을 감지하고 완화합니다.
Always on
항상 켜진 감지와 인라인 완화
Shield Standard는 별도 설정 없이 SYN flood, UDP flood, 반사 공격 같은 흔한 L3 · L4 공격을 자동으로 완화합니다.
App aware
애플리케이션을 아는 감지
Shield Advanced는 보호 리소스의 트래픽 기준선과 Route 53 헬스 체크를 함께 보고, 더 작은 공격도 더 빨리 잡습니다.
Experts
사람이 함께 대응
공격 중에는 Shield Response Team이 AWS WAF 로그를 분석해 맞춤 규칙을 만들고, 사후 분석과 아키텍처 권고를 제공합니다.
Standard vs Advanced
Shield Standard와 Shield Advanced
Shield Standard는 모든 AWS 고객에게 자동으로 적용됩니다. Shield Advanced는 계정 단위로 구독한 뒤, 보호할 리소스를 직접 지정해야 동작합니다.
| 항목 | Shield Standard | Shield Advanced |
|---|---|---|
| 적용 방식 | 모든 고객 자동 적용 · 추가 비용 없음 | 구독 후 리소스별 보호 추가 · 1년 약정 |
| L3 · L4 감지와 인라인 완화 | 지원 | 지원 + 대규모 공격용 추가 완화 용량 |
| 애플리케이션 트래픽 모니터링 | — | 리소스별 기준선 · 헬스 기반 감지 |
| L7 완화 | AWS WAF 규칙 · 유료 Anti-DDoS 규칙 그룹으로 직접 구성 | Anti-DDoS 관리형 규칙 그룹 구독 포함(기존 자동 L7 완화에서 전환 중) + SRT 지원 |
| 이벤트 알림 · 보고 | — | L3 · L4 · L7 이벤트 알림, CloudWatch 지표, 이력 보고 |
| Shield Response Team | 셀프 서비스 모범 사례 | 맞춤 완화, 사후 분석, proactive engagement (Business · Enterprise Support) |
| DDoS 비용 보호 | — | 공격으로 늘어난 보호 리소스 사용 요금을 크레딧으로 보전 |
| AWS WAF 요금 | 별도 과금 | 보호 리소스의 표준 WAF 요금 포함 (한도 있음) |
Shield Advanced features
Shield Advanced 주요 기능
Health-based
헬스 기반 감지
Route 53 헬스 체크를 보호에 연결하면, 헬스 체크가 비정상일 때 더 낮은 임계값에서 더 빨리 감지하고 완화합니다. Route 53 hosted zone을 뺀 모든 유형에 씁니다.
SRT
Shield Response Team
drt.shield.amazonaws.com을 신뢰하는 IAM 역할을 주면, SRT가 WAF 로그를 보고 web ACL 규칙을 대신 만들거나 고칩니다. 명시적으로 승인한 경우에만 조치합니다.
Proactive engagement
선제 연락
감지된 이벤트 중 연결된 헬스 체크가 비정상이 되면 SRT가 등록된 연락처로 먼저 연락합니다. 헬스 체크 연결이 전제 조건입니다.
Protection groups
보호 그룹
여러 보호 리소스를 하나의 단위로 묶어 감지와 보고를 합칩니다. 패턴은 ALL · ARBITRARY · BY_RESOURCE_TYPE, 집계는 SUM · MEAN · MAX 중에서 고릅니다.
At scale
Firewall Manager 정책
AWS Firewall Manager의 Shield Advanced 정책으로 조직 전체 계정의 대상 리소스에 보호를 자동 적용하고, 새로 생긴 리소스도 따라 보호합니다.
비용 보호: 보호 리소스가 DDoS 공격 때문에 확장되며 생긴 요금은 AWS Support에 요청해 서비스 크레딧으로 보전받을 수 있습니다. 1년 구독 약정을 이행하는 경우에 해당합니다.
Protected resources
Shield Advanced로 보호하는 리소스
Shield Advanced는 지정한 리소스만 보호합니다. 직접 보호하는 유형과, Elastic IP 연결을 통해 보호하는 유형이 있습니다. IPv4만 지원합니다.
EdgeGlobal
CloudFront · Route 53 · Global Accelerator
엣지 로케이션에서 트래픽을 받는 리소스입니다. CloudFront는 web ACL로 L7 보호까지 받고, Global Accelerator는 standard accelerator만 보호합니다.
CloudFront distributionRoute 53 hosted zoneGA standard accelerator
ELBRegional
Elastic Load Balancing
ALB와 Classic Load Balancer는 직접 보호하고, NLB는 연결된 Elastic IP를 보호해 함께 보호합니다. ALB는 web ACL로 L7 보호까지 받습니다.
ALBCLBNLB via EIP
EIPRegional
Amazon EC2 Elastic IP
Elastic IP를 보호하면 그 주소에 연결된 EC2 인스턴스와 NLB까지 보호됩니다. 직접 인터넷을 받는 서버에 씁니다.
Elastic IPEC2 via EIPGateway Load Balancer, Global Accelerator custom routing accelerator 같은 그 밖의 유형은 보호할 수 없습니다. NAT 게이트웨이는 아웃바운드 전용이라 대상이 아닙니다.
Reference architecture
진입점을 엣지로 모으고 진입점에 보호를 겁니다
웹 트래픽은 CloudFront와 AWS WAF를 거쳐 ALB 오리진으로, TCP · UDP 트래픽은 Global Accelerator를 거쳐 NLB로 갑니다. Shield Advanced 보호는 진입점 리소스에 걸고, 헬스 체크와 보호 그룹으로 감지 정확도를 높입니다.
좁은 화면에서는 다이어그램을 좌우로 밀어서 보세요.
Getting started
Shield Advanced를 켜는 순서
- STEP 1
구독
보호할 리소스가 있는 계정에서 Shield Advanced를 구독합니다. 1년 약정이며 자동 갱신됩니다.
- STEP 2
보호 추가
진입점 리소스를 골라 보호를 추가합니다. 여러 계정이면 Firewall Manager 정책을 씁니다.
- STEP 3
L7 · 헬스 체크
CloudFront · ALB의 web ACL에 Anti-DDoS 관리형 규칙 그룹을 넣고, Route 53 헬스 체크를 연결합니다.
- STEP 4
SRT 준비
SRT 접근 역할을 만들고, proactive engagement 연락처를 등록합니다.
- STEP 5
그룹과 알람
보호 그룹을 만들고, CloudWatch DDoSDetected(L7은 DDoSAttackRequests) 지표에 SNS 알람을 겁니다.
Pricing
비용 항목
Shield Standard는 추가 요금이 없습니다. Shield Advanced는 월 구독료와, 보호 리소스에서 나가는 데이터에 붙는 데이터 전송 사용료로 구성됩니다.
| 과금 항목 | 과금 기준 | 참고 |
|---|---|---|
| Shield Standard | 없음 | 사용 중인 AWS 서비스에 기본 포함됩니다. |
| Advanced 구독료 | 월 고정 요금 · 1년 약정 | 조직(payer 계정) 단위로 한 번만 청구됩니다. 같은 통합 결제 아래 계정은 각각 구독해도 추가 구독료가 없습니다. |
| 데이터 전송 사용료 | 보호 리소스의 Data Transfer Out GB당 | 리소스 유형별 단가가 다릅니다. CloudFront 뒤의 ELB처럼 진입점만 보호하면 중복 과금을 피합니다. |
| AWS WAF | 보호 리소스는 표준 요금 포함 | web ACL, 규칙, 요청 요금(기본 1,500 WCU 이내, payer 기준 월 500억 요청까지)과 Anti-DDoS 관리형 규칙 그룹이 포함됩니다. DDoS로 탐지된 요청은 한도에 세지 않습니다. Bot Control, Fraud Control, Marketplace 규칙 등은 별도입니다. |
| 기반 서비스 | 각 서비스 요금 | CloudFront, ELB, Route 53, Global Accelerator, EC2 표준 요금은 따로 청구됩니다. |
요금 단가는 리소스 유형과 사용량에 따라 다릅니다. 구독을 해지하려면 갱신일 30일 전부터 5일 전 사이에 AWS Support에 요청합니다. 최신 단가는 AWS Shield 요금 페이지에서 확인하세요.
함께 보기: Shield network security director(프리뷰)는 계정 · 조직의 네트워크 토폴로지를 분석해 WAF, 보안 그룹, NACL의 누락 · 잘못된 구성을 심각도별 결과로 보여 줍니다. 위임 관리자 계정으로 조직 전체를 분석하고, 결과를 AWS Security Hub에서도 볼 수 있습니다. Shield Advanced 구독에는 포함되지 않으며, 프리뷰 기간에는 추가 비용이 없고 기능과 지원 리전은 바뀔 수 있습니다.
Next step
우리 서비스의 DDoS 대응 구조를 점검해 보세요
인터넷에 노출된 진입점, 트래픽 규모, 지원 플랜, 장애 시 연락 체계를 정리해 오시면 보호 대상과 Shield Advanced 도입 여부를 함께 검토합니다.