Este documento discute como a infraestrutura da AWS pode ajudar aplicativos contra ataques DDoS. Apresenta os benefícios da infraestrutura global da AWS, como baixo custo, segurança, disponibilidade e desempenho. Também descreve serviços AWS como Shield Standard, Shield Advanced, WAF e Firewall Manager que fornecem proteção contra ataques DDoS.

1. © 2021, Amazon Web Services, Inc. or its Affiliates.
Bruno Silveira – Partner Solutions Architect
Daniel Garcia – Principal Security SA
Como a infra-estrutura da AWS pode
ajudar seu aplicativo contra ataques
DDoS

2. © 2021, Amazon Web Services, Inc. or its Affiliates.
Agenda
Cloud overview
Infraestrutura Global AWS
Ataques de Negação de Serviço
Serviços e Estratégias anti-DDoS

3. © 2021, Amazon Web Services, Inc. or its Affiliates.
Porque Infraestrutura de Cloud?
Aumente a
agilidade e o
desempenho de TI
Escalabilidade
quase ilimitada
Melhore a
confiabilidade
Custos mais baixos
Segurança
maximizana

4. © 2021, Amazon Web Services, Inc. or its Affiliates.
Mais experiência
13+
anos ajudando milhões de clientes
ofertas de serviço
175+
Alcance global e alta
disponibilidade
77
zonas de disponibilidade abrangendo 24
regiões geográficas
com consistência
80,000
Capaz de entregar até
Segurança e conformidade
IOPS/
instancia
203+
recursos de segurança
85
reduções de preços desde 2006
Obsessão pelo cliente e inovação Melhorar o TCO
Machine learning Ecossistema
4,500
listagens de software de 1.400 ISVs
81%
de todo o aprendizado profundo está
em execução no AWS
1: Nucleus Research, Nov 2018
Por que os clientes escolhem AWS

5. © 2021, Amazon Web Services, Inc. or its Affiliates.
Benefícios da infraestrutura global da AWS
Baixo Custo
Segurança Disponibilidade Performance Flexibilidade
Escalabilidade

6. © 2021, Amazon Web Services, Inc. or its Affiliates.
Hardware personalizado AWS
Balanceadores
de carga
Software
personalizado
Roteadores Servidores de
computação
personalizados
e
semicondutores
Chips

7. © 2021, Amazon Web Services, Inc. or its Affiliates.
© 2021, Amazon Web Services, Inc. or its Affiliates.
N. Virginia
N. California
Ireland
Primeiros 5 anos: 4 Regiões
Expansão
Regional
Singapore

8. © 2021, Amazon Web Services, Inc. or its Affiliates.
© 2021, Amazon Web Services, Inc. or its Affiliates.
N. Virginia
N. California
Ireland
AWS GovCloud West
Oregon
São Paulo
Sydney
Próximos 5 anos: 7 Regiões
Primeiros 5 anos: 4 Regiões
Expansão
Regional
Frankfurt
Singapore
Beijing

9. © 2021, Amazon Web Services, Inc. or its Affiliates.
© 2021, Amazon Web Services, Inc. or its Affiliates.
N. Virginia
N. California
Ireland
AWS GovCloud West
Oregon
São Paulo
Montreal
Ohio
London
Mumbai
Seoul
Ningxia
Cape Town
Hong Kong
Sweden
AWS GovCloud East
Osaka
Milan
Bahrain
Jakarta
2016–2020: 13 regiões e 1 região local
Coming soon: 3 regions
Expansão
Regional
Frankfurt
Singapore
Beijing
Spain
Paris
Sydney
Próximos 5 anos: 7 Regiões
Primeiros 5 anos: 4 Regiões

10. © 2021, Amazon Web Services, Inc. or its Affiliates.
© 2021, Amazon Web Services, Inc. or its Affiliates.
Infraestrutura Global AWS
24 geographical regions, 1 local region, 77 availability zones, 200+ POPs
Region & Number of Availability Zones (AZs)
GovCloud (US) Europe
US-East (3), US-West (3) Frankfurt (3), Paris (3),
Ireland (3), Stockholm (3),
US West London (3), Milan (3)
Oregon (4)
Northern California (3)
US East
N. Virginia (6), Ohio (3)
Middle East
Bahrain (3)
Canada Asia Pacific
Central (3) Singapore (3), Sydney (3),
Tokyo (4), Osaka-Local (1)*
South America
São Paulo (3)
Seoul (3), Mumbai (3),
Hong Kong (3)
Africa China
Cape Town (3) Beijing (2), Ningxia (3)
Announced Regions
Three Regions and 9 AZs in Indonesia, Japan, and Spain
* Available to select AWS customers who request access. Customers wishing to use the Asia Pacific (Osaka) Local Region should speak with their sales representative.

11. © 2021, Amazon Web Services, Inc. or its Affiliates.
© 2021, Amazon Web Services, Inc. or its Affiliates.
Design de uma Região AWS
As regiões da AWS são compostas por várias AZs para alta disponibilidade, alta
escalabilidade e alta tolerância a falhas. Aplicativos e dados são replicados em tempo
real e consistentes nas diferentes AZs.
AWS Availability Zone (AZ)
Uma região é um local físico no mundo onde
temos várias zonas de disponibilidade.
As zonas de disponibilidade consistem em um ou mais
data centers discretos, cada um com energia, rede e
conectividade redundantes, alojados em instalações
separadas.
AZ
AZ
AZ AZ
Transit
Transit
Datacenter
Datacenter
Datacenter
AWS Region

12. © 2021, Amazon Web Services, Inc. or its Affiliates.
© 2021, Amazon Web Services, Inc. or its Affiliates.
Regiões e zonas de disponibilidade
Region
Region
1
N
2
1
N
2 1
N
2
1
N
2
1
N
2
1
N
2 1
N
2
1
N
2 1
N
2
1
N
2 1
N
2
1
N
2 1
N
2
1
N
2 1
N
2
1
N
2 1
N
2
1
N
2 1
N
2
1
N
2 1
N
2
1
N
2 1
N
2
1
N
2
1
N
2 1
N
2
1
N
2
1
N
2 1
N
2
1
N
2
1
N
2 1
N
2
1
N
2
1
N
2 1
N
2
1
N
2
1
N
2 1
N
2
1
N
2
1
N
2 1
N
2
1
N
2
1
N
2 1
N
2
1
N
2
AZ
Baixa latência
garante
replicação real
de dados
Distância
garante alta
disponibilidade

13. © 2021, Amazon Web Services, Inc. or its Affiliates.
Design de uma Zona de Disponibilidade (AZ)
• Infraestrutura totalmente isolada
com um ou mais datacenters
• Distância significativa de
separação
• Infraestrutura de energia única
• Datacenters conectados via fibra
metropolitana totalmente
redundante e isolada

14. © 2021, Amazon Web Services, Inc. or its Affiliates.
Design de rede AWS
At least 2 redundant transit centers Highly peered & connected
Transit center connections
Inter-AZ connections
Intra-AZ connections

15. Amazon CloudFront usa
uma rede global de mais
de 225 pontos de presença
(Mais de 215 locais de Borda e
12 caches de Borda Regional)
em 88 cidades em 45 países
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Amazon Confidential

16. Rede Global:
Rede redundante de 100 GbE e
capacidade privada entre
todas as regiões, exceto China
Direct Connect:
Mais de 80 locais; os clientes
podem alcançar todas as
regiões da AWS a partir de seu
PoP de conexão direta local
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Amazon Confidential

17. © 2021, Amazon Web Services, Inc. or its Affiliates.
Ataques de negação de serviços

18. © 2021, Amazon Web Services, Inc. or its Affiliates.
Negação de Serviço / Denial of Service (DoS)
Atacante Alvo
Interrupção do acesso de usuários legítimos, usando uma
variedade de técnicas que consomem grande quantidade de
largura de banda de rede ou que bloqueiam outros recursos do
sistema a partir de uma única origem.

19. © 2021, Amazon Web Services, Inc. or its Affiliates.
Negação de Serviço Distribuída / DDoS
Atacante Target
Masters
Bots

20. © 2021, Amazon Web Services, Inc. or its Affiliates.
Tipos de Ameaças
SYN/ACK Flood | UDP Flood | Reflexão
Transporte
Ping of Death | ICMP Flood | Teardrop
Rede
Enlace
Física
Operada & Protegida pela AWS
Apresentação
Aplicação
Sessão
Exploits de App, Injeção SQL, Bots, Crawlers, Content Scrapers,
Abuso SSL, SSL Malformado
Slowloris, HTTP Flood

21. © 2021, Amazon Web Services, Inc. or its Affiliates.
Tipos de Ameaças (cont.)
Robôs Maliciosos
DDoS Ataques à Aplicação
Camada de
Aplicação
Camada de
Redes /
Transporte
UDP floods
SYN floods
Slowloris
Abuso de SSL
Reflexão de UDP
HTTP floods
Content scrapers
Scanners & probes
Crawlers
SQL injection
Exploits de aplicação

22. © 2021, Amazon Web Services, Inc. or its Affiliates.
Crescimento de Ataques Volumétricos
0
200
400
600
800
1000
1200
1400
1600
1800
2007 2008 2009 2010 2011 2012 2013 2014 2015 2016 2017 2018 2019
Maiores Ataques DDoS (Gbps)
Ataques
Memcached
Ataque Mirai

23. © 2021, Amazon Web Services, Inc. or its Affiliates.
Usando a arquitetura da AWS
para proteção de DDoS

24. © 2021, Amazon Web Services, Inc. or its Affiliates.
Modelo de Responsabilidade Compartilhada

25. © 2021, Amazon Web Services, Inc. or its Affiliates.
Private subnet
Melhores Práticas para Resiliência a DDoS
Amazon API Gateway
Amazon CloudFront
Amazon Route 53
AWS WAF
VPC
AWS Cloud
Auto Scaling group
Availability Zone 2
Instance Instance
Public subnet
Availability Zone 1
Elastic Load Balancing
BP1
BP2
BP3 BP4
BP5
BP6
BP7
https://d1.awsstatic.com/whitepapers/Security/DDoS_White_Paper.pdf

26. © 2021, Amazon Web Services, Inc. or its Affiliates.
Servindo Aplicação Web
Instancia EC2
VPC
Nuvem AWS
Internet
Gateway
Zona de Disponibilidade
Subnet pública
Internet Instancia
EC2
DDoS
L3
L4
L5-7

27. © 2021, Amazon Web Services, Inc. or its Affiliates.
Servindo Aplicação Web
Instancia EC2
VPC
Internet
Gateway
Zona de Disponibilidade
Subnet pública
Internet Instancia
EC2
DDoS
Network
access
control list L3
L4
L5-7
Security
Group
Auto
scaling
BP3
BP5
Nuvem AWS
Amazon
Route 53
AWS
Shield
BP7

28. © 2021, Amazon Web Services, Inc. or its Affiliates.
VPC
Internet
Gateway
Zona de Disponibilidade
Subnet pública
Instancia
EC2
DDoS
Application Load
Balancer
L3
L4
L5-7 L5-7
Subnet privada
Servindo Aplicação Web
Balanceador de Carga
Nuvem AWS
Internet

29. © 2021, Amazon Web Services, Inc. or its Affiliates.
Servindo Aplicação Web
Balanceador de Carga
VPC
Nuvem AWS
Internet
Gateway
Zona de Disponibilidade
Subnet pública
Internet Instancia
EC2
DDoS
Application Load
Balancer
L3
L4
L5-7 L5-7
AWS
Shield
Network
access
control list
Subnet privada
Security
Group
AWS
WAF
Auto
scaling
BP2
BP3
BP5
BP6
BP7
Amazon
Route 53

30. © 2021, Amazon Web Services, Inc. or its Affiliates.
Servindo Aplicação Web
Rede de Distribuição de Conteúdo (CDN) + DNS Autoritativo
VPC
Internet
Gateway
Zona de Disponibilidade
Subnet pública
Internet Instancia
EC2
DDoS
Application Load
Balancer
L5-7
Subnet privada
Amazon
CloudFront
Edge
Location
Edge
Location
Edge
Location
Edge
Location
Nuvem AWS
Amazon
Route 53
L3
L4
L5-7
L5-7

31. © 2021, Amazon Web Services, Inc. or its Affiliates.
Servindo Aplicação Web
Rede de Distribuição de Conteúdo (CDN) + DNS Autoritativo
VPC
Internet
Gateway
Zona de Disponibilidade
Subnet pública
Internet Instancia
EC2
DDoS
Application Load
Balancer
L5-7 L5-7
Network
access
control list
Subnet privada
Security
Group
AWS
WAF
Auto
scaling
BP1
BP2
BP3
BP5
Amazon
CloudFront
Edge
Location
Edge
Location
Edge
Location
Edge
Location
Nuvem AWS
Amazon
Route 53
BP6
BP7
L3
L4
L5-7
AWS
Shield

32. © 2021, Amazon Web Services, Inc. or its Affiliates.
Serviços AWS especializados

33. © 2021, Amazon Web Services, Inc. or its Affiliates.
Protegendo o perímetro das aplicações
AWS Shield Standard
Protege os serviços da AWS
contra ataques comuns de
DDoS
AWS WAF
Protege aplicações Web
permitindo que você escreva
regras personalizadas ou
escolha regras gerenciadas da
AWS ou do AWS Marketplace.
AWS Shield Advanced
Proteção gerenciada contra
ameaças que bloqueia ataques
DDoS, exploração de
vulnerabilidades e bots
maliciosos
AWS Firewall Manager
Configure e gerencie
centralmente regras de
segurança em contas e
aplicações
Inclui AWS WAF & AWS
Firewall Manager, sem
custo adicional

34. © 2021, Amazon Web Services, Inc. or its Affiliates.
Benefícios do AWS Shield Standard e Shield
Advanced
AWS Shield
Advanced
Detecção e
Mitigação
Mitigação mais
rápida.
Personalizada para
sua aplicação
Acesso 24x7 a
Equipe de
Resposta de
Shield (SRT)
Proteção pré-
configurada
Assistente para
selecionar e
proteger
Métricas do
CloudWatch
Diagnóstico
de ataque
Painel com o
Ambiente de
Ameaças
Globais
Relatório
trimestral
de
segurança
AWS WAF sem
custo adicional
Para recursos protegidos
AWS Firewall
Manager sem
custo adicional
Proteção de custos
para escalar

35. © 2021, Amazon Web Services, Inc. or its Affiliates.
Recursos protegidos com o AWS Shield Advanced
Elastic Load Balancing
Amazon
Route 53
Amazon
CloudFront
Elastic IP Address AWS Global
Accelerator

36. © 2021, Amazon Web Services, Inc. or its Affiliates.
AWS WAF: proteção de aplicações Web
AWS WAF
Automatize usando automações de
segurança baseadas no AWS Lambda
Use regras gerenciadas do AWS
Marketplace ou regras gerenciadas da AWS
Personalize a segurança para sua aplicação
usando regras personalizadas
Monitore usando métricas do Amazon
CloudWatch ou integrações de terceiros

37. © 2021, Amazon Web Services, Inc. or its Affiliates.
Proteja Recursos com AWS WAF
AWS WAF
Amazon CloudFront
Application Load Balancer
Amazon API Gateway
AWS AppSync GraphQL API

38. © 2021, Amazon Web Services, Inc. or its Affiliates.
AWS Firewall Manager
AWS Firewall
Manager
Garanta a conformidade com regras
obrigatórias em toda a organização
Simplifique o gerenciamento de
regras entre contas & aplicações
Permita resposta rápida a ataques em
todas as contas

39. © 2021, Amazon Web Services, Inc. or its Affiliates.
Resumo

40. © 2021, Amazon Web Services, Inc. or its Affiliates.
Private subnet
Melhores Práticas para Resiliência a DDoS
Amazon API Gateway
Amazon CloudFront
Amazon Route 53
AWS WAF
VPC
AWS Cloud
Auto Scaling group
Availability Zone 2
Instance Instance
Public subnet
Availability Zone 1
Elastic Load Balancing
BP1
BP2
BP3 BP4
BP5
BP6
BP7
https://d1.awsstatic.com/whitepapers/Security/DDoS_White_Paper.pdf

41. © 2021, Amazon Web Services, Inc. or its Affiliates.
Obrigado