AWS12. Global Accelerator, AWS Shield

1. Global Accelerator란?

• AWS의 글로벌 인프라 네트워크를 이용하여 사용자 트래픽을 전송함
  • 네트워크 전송 성능 증가 (최대 60%)
  • HOP을 많이 건너뛸수록 성능이 낮아
• AWS 호스팅 애플리케이션에 대한 고정 진입점 역할을 하는 고정 진입정 역할을 하는 고정 IP 주소 제공
• Global Accelerator
  • 사용자와 가장 가까운 위치 (리전)의 사용가능한 정상 엔드포인트로 트래픽을 자동으로 라우팅
  • 장애 감소, 성능 향상
• 시나리오 1
  • 사용자가 이용한 에지 로케이션과 가까운 리전으로 트래픽을 라우팅
  • 가까운 리전의 서비스가 장애상황이면 다른 리전의 엔드포인트로 라우팅
• 시나리오 2
  • GA가 제공하는 Anycast IP 주소로 접속
    • 전 세계 사용자 모두 동일한 IP 주소로 접속
  • Edge Location의 GA Endpoint로 전송
  • 엔드포인트로 라우팅 (그림에서는 NLB)

2. Global Accelerator VS CloudFront

• Global Accelerator
  • 설명: 글로벌 트래픽 관리 기능 제공
  • 대상 애플리케이션 : ALB, NLB, EC2, EIP
  • 캐싱 기능: 없음
  • 사용 프로토콜: TCP 또는 UDP
  • 작동 계층: L4계층
  • 라우팅: Anycast
• CloudFront
  • 설명: HTTP(S) CDN 기능 제공
  • 대상 애플리케이션: S3버킷, HTTP 서버, ALB
  • 캐싱 기능: 지원
  • 사용 프로토콜: HTTP, HTTPS
  • 작동 계층: L7 계층
  • 라우팅: DNS 기반

3. Shield, WAF

• Shield란?
  • 상시 네트워크 흐름에 대한 모니터링 기능 제공
    • 트래픽 검사, 트래픽 서명, 이상 알고리즘을 이용한 분석
  • DDos 공격 방어
  • 종류
    • Shield Standard
      • L3 ~ L4 계층에서 작동
      • 무료: EC2, ELB, CloudFront, Route53
    • Shield Advanced
      • L3 ~ L7 계층에서 작동
      • 연간구독: $3000/월 정도의 비용

4. AWS WAF란?

• HTTP (S) 요청을 모니터링하는 방화벽 기능 제공
• 적용 서비스
  • CloudFront, API Gateway, ALB
• 규칙 적용
  • Web ACL -> 웹 요청에 대한 허용/차단
  • SQL Injection 공격, XSS 공격에 대한 방어 기능 제공

5. AWS Firewall Manager

• 개별적인 보안 요소를 한 번에 관리할 수 있도록 도와주는 도구
• 관리 가능 보안 기능
  • AWS WAF, VPC 보안 그룹, Shield, AWS Network Firewall
• 바람직한 적용 환경
  • 계정 및 리소스가 많을 때
  • 지속적으로 새로운 애플리케이션이 추가되는 환경일 때
  • 보안위협에 대한 중앙집중화된 관리가 필요할