AWS Shield導入時に知っておきたい制限事項と注意点｜DDoS対策サービスの基礎をやさしく解説

AWS Shield導入時に知っておきたい制限事項と注意点

先生と生徒の会話形式で理解しよう

生徒

「先生、AWSのDDoS対策に使うAWS Shield（シールド）って、使えば完全に守れるんですか？」

先生

「AWS Shieldは強力なDDoS（ディードス）攻撃対策サービスですが、いくつかの制限事項や注意点もあるんですよ。」

生徒

「そうなんですね。使う前に何を気をつければいいか教えてください！」

先生

「では今回は、AWS Shield導入時に押さえておくべき制限事項と注意点について、一緒に確認していきましょう！」

1. AWS Shieldとは？

AWS Shield（エーダブリューエス・シールド）は、DDoS（ディードス）攻撃からクラウド上のサービスを守るためのセキュリティ機能です。DDoS攻撃とは、大量の通信を送りつけてサーバーを動かなくする攻撃のことで、Webサイトやアプリケーションのダウンの原因になります。

AWS Shieldには、基本機能が無料で提供される「AWS Shield Standard（スタンダード）」と、有料でサポートが強化される「AWS Shield Advanced（アドバンスト）」の2種類があります。

2. AWS Shieldの基本的な仕組み

AWS Shieldは、Amazon CloudFront（クラウドフロント）やElastic Load Balancing（イーエルビー）などのサービスと連携し、リアルタイムで不正なトラフィックを検知して遮断します。

特にAWS Shield Advancedを使うと、攻撃に関する詳細レポートや、24時間対応のセキュリティ専門チームによる支援も受けられます。

3. AWS Shield導入時の制限事項

AWS Shieldには便利な機能が多い一方で、導入時に知っておくべき制限事項もいくつかあります。

すべてのAWSリソースが自動的に守られるわけではない：CloudFrontやALB（エーエルビー）など特定のサービスに対してのみ自動で保護が働きます。
Shield Advancedは有料：月額料金が高めに設定されており、コストが発生します。導入前に予算と効果を確認する必要があります。
サードパーティ製CDNは保護対象外：CloudFront以外のCDN（シーディーエヌ）サービスを使っている場合は、Shieldの効果が限定されることがあります。
アプリケーションの脆弱性までは保護できない：DDoS攻撃は防げても、Webアプリケーション自体のセキュリティ問題（たとえばSQLインジェクションなど）までは防ぎません。

4. 注意点1：Shield Advancedの設定ミスに注意

Shield Advancedを利用するには、対象リソースを明示的に登録する必要があります。設定を忘れたり、正しく行わないとDDoS攻撃を受けた際に十分な保護が受けられません。

特にAmazon Route 53（ルートごじゅうさん）やGlobal Accelerator（グローバル・アクセラレーター）を使っている場合、忘れずにそれぞれのサービスを登録しておきましょう。

5. 注意点2：誤検知と正規トラフィックの影響

AWS Shieldは自動でトラフィックを分析しますが、まれに正常なアクセスを「攻撃」と誤判定することもあります。例えば一時的に大量のユーザーが集中アクセスした場合などです。

このようなケースを避けるためには、AWS WAF（ワフ）と連携してルールを細かく設定しておくことが推奨されます。

6. 注意点3：被害レポートの申請は手動で必要

AWS Shield Advancedでは、DDoS攻撃による損害が出た場合、サービスクレジット（返金のような仕組み）の申請が可能ですが、自動で補償されるわけではありません。

攻撃の証拠や影響の内容をAWSに報告し、審査を経て補償が行われるため、申請プロセスを理解しておくことが大切です。

7. 注意点4：地域（リージョン）によって対応状況が異なる

AWS Shieldはほとんどのリージョンで使えますが、一部のサービスや機能は特定の地域でのみサポートされています。

例えば、サポートチームからの対応時間や、トラフィックレポートの詳細度などに違いがある場合もあるため、導入前に利用地域での対応状況を確認しましょう。

8. AWS Shieldと併用したいセキュリティサービス

AWS Shield単体では限界があるため、以下のサービスと一緒に使うことでより強固な対策が可能になります。

AWS WAF（ダブリューエーダブリュー・ワフ）：Webアプリケーションの脆弱性を防ぐルールベースの防御。
Amazon CloudFront（クラウドフロント）：DDoS攻撃を受けにくい分散ネットワークによるキャッシュ配信。
Amazon Route 53：高可用性のDNS（ディーエヌエス）サービスで、攻撃時のフェイルオーバーが可能。

9. こんな人はShield導入時に特に注意しよう

以下のようなケースでは、AWS Shield導入時に特に慎重な設計が求められます。

ビジネス上で大規模なWebサービスを運営している方
イベント開催などで一時的にアクセスが集中するサイトを運営している方
行政・医療・金融など、止まることが許されないサービスを提供している方

導入前に制限や注意点をしっかり理解しておくことで、無駄なコストや被害を防げます。

職業訓練講師が直接指導【AWS SAA 合格支援セミナー】

職業訓練講師が伝授する AWS Certified Solutions Architect - Associate (SAA-C03) 実践アーキテクチャ設計講座

月間120万PV超の技術メディア×職業訓練のプロが贈る、最短合格ロードマップ

職業訓練講師が60分で叩き込む。AWS SAA「落ちないシステム」の設計原則とシナリオ攻略。

本講座では、AWS認定ソリューションアーキテクト - アソシエイト(SAA-C03)の核心である「高可用性・高性能・高セキュリティ・コスト最適化」の4ドメインを、職業訓練講師が60分で集中講義します。単なる暗記では太刀打ちできない「ケーススタディ問題」を解くための、プロのアーキテクチャ思考回路を最短距離でインストールします。

60分集中・設計者の視点へアップデート

【つくるもの】
Multi-AZ構成による「耐障害性インフラ」と、Auto Scalingを活用した「自動拡張基盤」のベストプラクティスを設計。ELB × EC2 × RDSの黄金構成から、S3 × CloudFrontによるコンテンツ配信の高速化まで、現場で「最高レベルの可用性」と称賛される設計パターンを徹底解説します。

【学習環境】
AWS Well-Architected ツールをベースに解説。商用環境での「単一障害点(SPOF)の排除」や、Amazon VPC内の多層防御設計など、ソリューションアーキテクトとして必須の「現場の定石」を短時間で伝授します。