先生と生徒の会話形式で理解しよう

生徒

「先生、レイヤー3とかレイヤー4って聞いたことがあるんですが、AWSで何か対策できるんですか？」

先生

「はい、AWSではAWS Shield（エーダブリューエスシールド）を使って、ネットワーク層の攻撃、つまりレイヤー3やレイヤー4を守ることができますよ。」

生徒

「具体的には、どんな攻撃を防げるんですか？」

先生

「それでは、AWS Shieldでのレイヤー3/4攻撃対策について、基本から一緒に見ていきましょう！」

1. レイヤー3/4攻撃とは？読み方と意味

レイヤー3は「ネットワーク層（ネットワークソウ）」、レイヤー4は「トランスポート層（トランスポートソウ）」と呼ばれます。これは、通信の仕組みを階層で分けたOSI参照モデルに基づいた言い方で、それぞれの層に対して行われる攻撃を指します。

代表的なレイヤー3/4攻撃には、UDPフラッド、TCP SYNフラッド、ICMPフラッドなどがあります。これらは、大量のパケットを一気に送りつけることでネットワークを混乱させ、サービス停止を狙うものです。

2. AWS Shieldとは？基本の読み方と役割

AWS Shield（エーダブリューエスシールド）は、AWSが提供するDDoS（ディードス）対策のマネージドサービスです。何もしなくても標準で有効な「AWS Shield Standard」と、有料の上位版「AWS Shield Advanced」があります。

Shield Standardでも、ネットワーク層とトランスポート層の攻撃、つまりレイヤー3/4攻撃に対しては自動で防御される仕組みが整っています。

3. AWS Shieldで防げるレイヤー3/4攻撃の種類

AWS Shieldが対応する主なレイヤー3/4攻撃には以下のようなものがあります：

UDPフラッド攻撃：読み方はユー・ディー・ピーフラッド。不要なUDPパケットを大量に送る攻撃
TCP SYNフラッド攻撃：読み方はティー・シー・ピーシンフラッド。TCP接続を悪用した攻撃
ICMPフラッド攻撃：読み方はアイ・シー・エム・ピーフラッド。pingを大量送信して負荷をかける
Reflection攻撃：第三者サーバーを利用して攻撃元を隠しながら攻撃

これらの攻撃はすべて「サービスの可用性（カヨウセイ）」を奪うことを目的としています。 AWS Shieldはこれらを自動で監視し、リアルタイムで緩和（かんわ）します。

4. AWS Shieldでの防御の仕組み

AWS Shield Standardは、自動的にトラフィックをモニタリングし、異常なパターンを検出したときに対処します。特に、以下のAWSサービスと連携することで、高い防御効果を発揮します。

AWS Elastic Load Balancing（読み方：エラスティックロードバランシング）
Amazon CloudFront（クラウドフロント）
Amazon Route 53（ルートフィフティスリー）
AWS Global Accelerator（グローバルアクセラレーター）

これらのサービスは、エッジロケーションというAWSの拠点でリクエストをさばくため、攻撃が本体に届く前に遮断できるよう設計されています。

5. AWS Shieldの設定は必要？初心者向けの考え方

Shield Standardは、デフォルトで有効なので、特別な設定をしなくてもDDoS攻撃からある程度保護されます。ただし、より強力な保護や細かい可視化・通知・レポートが必要な場合は、「Shield Advanced」の導入を検討します。

Shield Advancedでは、専用のダッシュボードや、DDoS Response Team（ディードスレスポンスチーム）への連絡機能も使えるようになります。

6. 効果的にレイヤー3/4攻撃を防ぐ設計のポイント

レイヤー3/4攻撃を防ぐためには、Shieldに任せきりにするだけでなく、以下のような設計の工夫も重要です。

CloudFrontを活用：エッジでリクエストを受け止め、オリジンへの負荷を軽減
Elastic Load Balancerを使用：攻撃の影響を分散
不要なポートを閉じる：セキュリティグループで通信制御
VPCフローログを有効化：異常通信の検出に活用
Route 53で地理的分散：単一障害点の回避

これらを組み合わせることで、Shieldの防御と構成上の対策の二重構えが実現できます。

7. レイヤー7との違いも知っておこう

レイヤー3/4攻撃は、主にパケットの送信レベルでの攻撃です。一方、レイヤー7（アプリケーション層）は、HTTPなどアプリケーション通信を狙います。 Shield Standardは主にレイヤー3/4に対応していますが、レイヤー7に関してはAWS WAF（ダブリューエーダブリューエフ）と組み合わせて使うのが一般的です。

つまり、レイヤー3/4は「大量のデータの波」、レイヤー7は「中身を狙った攻撃」というイメージです。両方の視点でセキュリティを考えることが重要です。