先生と生徒の会話形式で理解しよう

生徒

「先生、AWS Shieldって聞いたんですけど、StandardとAdvancedって何が違うんですか？」

先生

「AWS（エーダブリューエス） Shield（シールド）はDDoS攻撃を防ぐサービスなんだけど、Standard（スタンダード）とAdvanced（アドバンスド）では機能とサポートに大きな違いがあるんだ。」

生徒

「どっちを使えばいいのか迷ってしまいますね。」

先生

「それじゃあ、初心者にもわかりやすく、違いを徹底的に比較してみよう。」

1. AWS Shieldとは？

AWS Shieldは、Amazon Web Services（アマゾンウェブサービス）が提供するDDoS攻撃対策のサービスです。DDoSはDistributed Denial of Service（ディストリビューテッドデナイアルオブサービス）の略で、大量のアクセスを集中させてサービスを停止させる攻撃を意味します。

AWS Shieldには、すべてのユーザーが自動で利用できる「Standard」と、より強力な保護やサポートを受けられる「Advanced」の2種類があります。

2. AWS Shield Standardの特徴

AWS Shield Standard（シールドスタンダード）は、追加料金なしで利用できるDDoS保護です。Amazon CloudFront（クラウドフロント）、Amazon Route 53（ルート53）、Elastic Load Balancing（エラスティックロードバランシング）などのサービスに組み込まれています。

追加料金なしで自動的に有効化
SYNフラッドやUDPリフレクション攻撃など一般的なDDoS攻撃に対応
設定が不要で初心者でも安心

例えば、ECサイトやブログをCloudFrontで公開する場合、Shield Standardが自動で守ってくれるので、特別な操作は必要ありません。

3. AWS Shield Advancedの特徴

AWS Shield Advanced（シールドアドバンスド）は、有料で提供される強化版のDDoS防御サービスです。より大規模で複雑な攻撃に対応し、専用サポートを受けられるのが大きな特徴です。

アプリケーション層への攻撃を含む高度なDDoS攻撃を軽減
DDoS Response Team（ディードスレスポンスチーム）の24時間サポート
攻撃時のスケーリングコストを補償する料金保護機能
詳細なレポートや可視化ツールで状況を分析可能

金融機関や大規模ECサイトなど、攻撃を受けるリスクが高いサービスでは、Advancedを導入することで安心して運用できます。

4. StandardとAdvancedの違いを比較表で確認

項目	Shield Standard	Shield Advanced
料金	無料	有料（固定料金＋トラフィック量に応じた料金）
DDoS防御レベル	一般的な攻撃に対応	高度で大規模な攻撃に対応
サポート	なし	DDoS Response Teamによる24時間サポート
コスト保護	なし	攻撃による追加コストを補償
可視化・レポート	基本的なモニタリング	詳細なレポートとリアルタイム分析

5. どちらを選ぶべきか？

初心者や小規模なWebサービスを運営する場合は、AWS Shield Standardで十分です。追加料金がなく、基本的なDDoS攻撃から自動で守ってくれるからです。

一方で、金融サービス、オンラインゲーム、大規模なECサイトなど攻撃リスクが高いサービスを運営している場合は、AWS Shield Advancedを検討すべきです。特にコスト保護や専門家のサポートは大きなメリットになります。

6. 他サービスとの連携で強化する

AWS Shieldは、単体でも有効ですが、他のサービスと組み合わせるとさらに強力になります。

AWS（エーダブリューエス） WAF（ワフ）：アプリケーション層の不正アクセスを防御
Amazon CloudFront（アマゾンクラウドフロント）：CDNでトラフィックを分散
Elastic Load Balancing（エラスティックロードバランシング）：アクセスを複数のサーバに分散

これらを組み合わせることで、多層防御（ディフェンスインデプス）を実現できます。

7. 雑学：DDoS攻撃の進化と対策の歴史

DDoS攻撃は1990年代から存在し、初期は研究機関や小規模ネットワークがターゲットでした。2000年代以降は企業や金融機関が標的となり、近年ではIoT機器を悪用した大規模攻撃も増えています。

AWS Shieldのようなクラウドサービスは、こうした進化する攻撃に対応するために設計され、利用者が専門知識を持たなくても強力な防御を利用できるようになりました。

まとめ

ここまで見てきたように、AWS Shield StandardとAWS Shield Advancedは、どちらもDDoS攻撃からシステムを守るための大切なサービスですが、想定している規模や求められる安心感が少し異なります。小さめのウェブサイトや学習用の環境であれば、追加料金なしで自動的に有効になるAWS Shield Standardだけでも、一般的なDDoS攻撃から十分な保護を受けることができます。一方で、多くの利用者が集まる大規模なサービスや、金融分野のように止まってはいけないシステムでは、AWS Shield Advancedのようにより強力な防御と専門家による支援があると、日々の運用がかなり楽になります。

初心者が最初に意識しておきたいのは、「どれくらいの規模のサービスを、どれくらいの責任で守る必要があるのか」という視点です。個人ブログや小さな企業サイト、練習用の検証環境などであれば、AWS Shield StandardとCloudFront、Route 53、Elastic Load Balancingを組み合わせるだけでも、多くの一般的な攻撃から守ることができます。反対に、売り上げへの影響が大きいショッピングサイトや、継続的にアクセスが集中するオンラインゲームのようなサービスでは、攻撃を受けることを前提に、AWS Shield AdvancedやAWS WAFを含めた多層的な構成を検討する必要があります。

また、AWS Shieldは単独で考えるよりも、周りのサービスとの組み合わせで捉えると理解しやすくなります。CloudFrontで世界中にトラフィックを分散し、Elastic Load Balancingでアプリケーションへの負荷をならし、その外側でAWS WAFが不正なリクエストをふるいにかける。その一番外側で、大量のトラフィックそのものを軽減する役割としてAWS Shieldがある、というイメージです。この流れを頭の中で描けるようになると、設定画面を見るときや構成図を読むときに、どのサービスがどの役割を担っているのかがわかりやすくなります。

コストの考え方も大切なポイントです。AWS Shield Standardは無料で利用できるため、「とりあえず何もしないよりはずっと良い状態」に簡単に到達できます。そこから、アクセス数の増加やサービスの重要度に応じて、AWS Shield Advancedを追加するかどうかを検討する流れにしておくと、ムダのない段階的な導入がしやすくなります。特に、攻撃を受けた際のスケーリングによる追加料金を補償してくれる機能は、経営視点で見ても安心材料になります。

さらに、運用のしやすさという意味では、モニタリングや可視化の機能にも注目したいところです。Standardでも基本的な状態は確認できますが、Advancedではより詳細なレポートやリアルタイムでの状況把握が可能になります。攻撃の種類や継続時間、どのリソースに影響が出ているのかを把握できれば、次の対策を考えるための材料も集めやすくなります。単に「守れているかどうか」だけではなく、「どのように守られているのか」を意識してログやメトリクスを見る習慣を身につけると、インフラ全体への理解も深まっていきます。

初めて触れるときには、専門用語や略語が多くて難しく感じるかもしれませんが、実際には「攻撃を受けたときにサービスを止めないための仕組み」を少しずつ積み重ねていく作業です。最初はAWS Shield StandardとCloudFrontを使って静的なウェブサイトを公開してみる、その次にWAFのルールを少し試してみる、というように、一歩ずつ進めていくと理解が深まりやすくなります。いきなりすべてを完璧にしようとするのではなく、まずは「守るべき場所を把握し、できるところから対策を積み上げていく」ことを心がけるとよいでしょう。

AWS Shieldのイメージをつかむシンプルな設定例

ここでは、CloudFrontとWAFを組み合わせた構成をイメージしやすくするための設定例を、簡単な形でまとめておきます。実際の画面操作はコンソールから行いますが、考え方の整理として眺めてみてください。


{
  "distributionName": "example-cloudfront-with-shield",
  "shield": {
    "standard": true,
    "advanced": false
  },
  "waf": {
    "enable": true,
    "rules": [
      {
        "name": "block-suspicious-user-agent",
        "action": "BLOCK",
        "condition": "userAgentMatchesPattern"
      },
      {
        "name": "rate-limit-http-request",
        "action": "LIMIT",
        "condition": "requestPerFiveMinutesOverThreshold"
      }
    ]
  },
  "origin": {
    "type": "alb",
    "name": "example-application-load-balancer"
  }
}

上のようなイメージで、CloudFrontの外側にAWS Shieldがあり、その内側でAWS WAFが不正なリクエストを制御し、さらにその奥でアプリケーションロードバランサがリクエストを複数のサーバーに振り分けている、と考えると構造がつかみやすくなります。実際の設定ではもっと多くの項目がありますが、「外側から順番に守っていく」という考え方さえ覚えておけば、少しずつ細かい部分も理解できるようになっていきます。

コマンドラインで状態を確認するイメージ

日常的な運用では、管理画面だけでなく、コマンドラインから状態を確認することもあります。ここではあくまで雰囲気をつかむための例として、保護設定の情報を確認する場面を想像してみます。


aws shield describe-protection --protection-id example-id
{
  "Protection": {
    "Id": "example-id",
    "Name": "example-cloudfront-protection",
    "ResourceArn": "arn:aws:cloudfront::XXXXXXXXXXXX:distribution/XXXXXXX"
  }
}

このように、どのリソースに対してどのような保護が紐づいているのかを確認しながら、必要に応じて構成を見直していくことが大切です。設定を一度行って終わりにするのではなく、アクセスの増加やサービス内容の変化に合わせて、AWS Shieldの使い方や連携サービスを定期的に振り返る習慣をつけておくと、長期的に安定した運用につながります。

最終的には、自分のサービスにとって「どこまでの防御が必要なのか」「そのためにどのサービスをどのように組み合わせるのか」を説明できるようになることが一つの目標になります。AWS Shield StandardとAdvancedの違いを押さえ、CloudFrontやRoute 53、Elastic Load Balancing、AWS WAFなどの周辺サービスとの関係性も合わせて理解しておくことで、設計やトラブルシューティングの場面で、自信を持って判断できるようになっていくでしょう。

先生と生徒の振り返り会話

生徒

「きょうはAWS Shield StandardとAdvancedのちがいについてたくさん話を聞いて、だいぶイメージがはっきりしてきました。小さなサイトならStandardでじゅうぶんだけど、大きなサービスやとまってはいけないシステムならAdvancedを考える、という整理ができた気がします。」

先生

「そのとおりだね。大事なのは、どのくらいの規模のサービスで、どのくらい止まってはいけないのかを意識することだよ。必要になる守りの強さがちがえば、選ぶべきプランや組み合わせも変わってくるからね。」

生徒

「CloudFrontやRoute 53、それからAWS WAFといっしょに使うと、外がわからかためていくみたいな感じになる、という話も分かりやすかったです。外側でDDoS攻撃を軽くして、その内側で不正なリクエストをふるいにかけるイメージが頭の中に浮かびました。」

先生

「いいね。構成図を思い浮かべられるようになると、サービスどうしの役割分担も見えてくるよ。今後、実際にCloudFrontのディストリビューションを作ってみたり、WAFのルールを試してみたりすると、きょうのイメージがもっと具体的になるはずだ。」

生徒

「それから、Advancedには料金保護や専門チームのサポートがある、というところも印象に残りました。ただ攻撃をふせぐだけじゃなくて、攻撃を受けたときのコストや対応のしかたまで含めて考える必要があるんだな、ということも学びました。」

先生

「そうだね。技術的に守ることと、運用やお金の面で守ること、その両方を見られるようになると、インフラの設計にぐっと説得力が出てくるよ。今回の内容をふりかえりながら、自分が作りたいサービスならどこまでの守りが必要なのか、一度紙に書き出してみると良いかもしれないね。」

生徒

「わかりました。まずは学習用の小さな環境でStandardの守りを体験してみて、そのあとで、もし将来もっと大きなサービスを作ることになったら、AdvancedやWAFとの組み合わせも検討する、という流れで少しずつ練習してみます。」

先生

「その進め方はとても良いと思うよ。あわてず一歩ずつ経験を重ねていけば、AWS Shieldやまわりのサービスのしくみが自然と身についていくはずだ。これからも実際に手を動かしながら、一緒にDDoS対策やクラウドの設計を学んでいこう。」

この記事を読んだ人からの質問

AWS Shield StandardとAdvancedの違いを徹底比較！初心者向けDDoS対策ガイド