外部の脅威からアプリケーションを保護するマネージドサービス「AWS Shield Advanced」は、アプリケーション層(L7)のDDoS防御を目的とした「Anti-DDoSマネージドルールグループ」を、対象となるWebアクセスコントロールリスト(ACL)に対してCountモードで追加します。この追加によりトラフィックの流れは維持され、既存のL7自動緩和機能やAWS WAFルールと並行して動作します。このルールグループはすべてのAWS WAF顧客が利用可能で、AWS Shield Advancedのサブスクリプションには標準で含まれます。
移行スケジュール
2026年7月27日から8月7日にかけて、AWSは対象となるShield AdvancedのWeb ACLにAnti-DDoSマネージドルールグループをCountモードで追加します。顧客はこのルールグループがWeb ACLに追加され次第、10月の自動アップグレードを待たずに評価・移行を行うことができます。
AWSは、AWS WAFコンソールの新しいAnti-DDoSダッシュボードを確認し、DDoSDetectedメトリクスとDDoSAttackRequestsメトリクスを比較して検知精度を検証し、AWS WAFラベルを使って不審なリクエストを分析することを推奨しています。
評価期間中は、Blockアクションの感度設定をLowから開始し、ダッシュボードのデータとラベルに基づいて設定を調整したうえで、ルールの優先順位を見直し、サポート対象外のパスに対してURI除外設定を行い、ルールグループが自動追加された後にInfrastructure as Code(IaC)テンプレートを更新することが推奨されます。
Shield AdvancedのL7防御アップグレードは5段階で展開されます。既存の自動緩和機能は、ルールグループへの移行が完了するまでプロセス全体を通じて有効なまま維持されます。2027年1月1日以降、AWSはShield Advancedのアプリケーション層自動緩和機能を廃止します。ルールグループへの移行を行っていないリソースは、アプリケーション層のDDoS自動防御を失うことになります。
Anti-DDoSルールグループの機能
このマネージドルールグループは、通常のトラフィックパターンを学習し、攻撃に対応し、ヘルスチェックとは独立して動作することで、Shield Advancedの自動緩和機能を拡張します。
BlockおよびCountに加えて、新たにChallengeアクションが導入されます。Challengeの判定はAMRラベルに基づいて行われ、サイレントなブラウザ検証をサポートします。BlockとChallengeの感度は個別に設定でき、サポート対象外のパスについてはBlockへのフォールバックを設定できます。
今回のアップデートにより、Web ACLの容量要件は150WCUから50WCUに引き下げられ、DDoSイベントとトラフィックのインサイトを表示するダッシュボードが追加されるほか、検査対象のすべてのリクエストにラベルが付与され、カスタムAWS WAFルールで利用できるようになります。
アクティブな緩和処理中にブロックされたDDoSリクエストは、AWS WAFおよびShield Advancedのリクエスト課金の対象外となります。
「これらの機能を利用するために、AWS Shield Advancedへの加入は必須ではありません。Shield Advancedの加入者はAWS WAFを通じてこのルールグループを追加費用なしで利用でき、また、いずれのAWS WAF顧客も独立して有効化することができます」と、AWSのシニアソリューションアーキテクトであるEitav Arditti氏、シニアプロダクトマネージャーのAndrew Chen氏、セキュリティ担当のGo-to-MarketスペシャリストであるJustin Kurpius氏は説明しています。
監視と可視性
このルールグループは、攻撃を監視するための新しいAmazon CloudWatchメトリクスとラベルを導入します。既存のDDoSDetectedメトリクスは引き続き、レイヤー3およびレイヤー4のイベントを報告します。新たに追加されたDDoSAttackRequestsメトリクスは、アプリケーション層への攻撃を追跡します。
移行期間中、顧客はアラートを移行する前に、両方のメトリクスを使って検知精度を検証できます。
検査対象となるすべてのリクエストには、検知されたイベント、不審度のレベル、緩和判定を示すラベルが付与され、AWS WAFルール、CloudWatchダッシュボード、AWS WAFログ、CloudWatch Logs Insights、Amazon Athenaで利用できます。
その他のメトリクスでは、リクエストがチャレンジされたか、ブロックされたか、あるいはカウントされたかなど、その処理内容が示されます。これらは、攻撃発生時に緩和状況を評価し、必要に応じてルールの感度を調整する際にチームの助けとなります。
インフラストラクチャの更新
AWS CloudFormation、AWS CDK、Terraform、その他のInfrastructure as Codeツールを使用している組織は、テンプレートを更新する必要があります。AWSはこのルールグループをAWS WAF経由で構成するため、既存のShield自動緩和設定をAWS WAFマネージドルールグループに置き換える必要があります。AWSによるアップグレードの適用後、チームは更新されたWeb ACLを自社のIaCツールにインポートし、今後のデプロイでこの変更が元に戻ってしまわないようにする必要があります。
AntiDDoS有効化(出典:AWS)
AWS Firewall Managerを利用しているユーザーは、アプリケーション層防御がShield AdvancedのポリシーからAWS WAFへと移行するため、AWS WAF Firewall ManagerポリシーにAWSManagedRulesAntiDDoSRuleSetを追加する必要があります。Firewall Managerが管理するWeb ACLは、コンソールまたはInfrastructure as Code経由で、ポリシーを通じて更新する必要があります。
「どちらの方法を選ぶにせよ、移行の過程でいずれのリソースもアプリケーション層防御を失うことがないよう、ポリシーの適用範囲は既存のShield Advancedポリシーがカバーしているものと同じアカウント・リソースに合わせてください」と著者らは付け加えています。
価格設定
Shield Advancedには、組織全体で月間最大500億リクエストまで、このルールグループが含まれます。BlockモードまたはChallengeモードでのアクティブな緩和処理中にブロックされたDDoSトラフィックは、AWS WAF、当該ルールグループ、およびShield Advancedのリクエスト課金の対象から除外されます。
2026年7月27日から9月30日までの自動展開期間中に更新される対象Web ACLについては、Countモードで動作している間も含め、評価期間中はリクエスト単位の料金もWCUの消費も発生しません。この免除措置は手動で追加されたルールグループには適用されず、その場合は標準のAWS WAF料金体系で課金されます。
翻訳元: https://www.helpnetsecurity.com/2026/07/28/aws-waf-anti-ddos-rule-group/
