要注意！？本当に怖いCloudFront - Qiita

はじめに 先日、海外向けに運用していた個人ブログがDDoS攻撃を受けてしまいました。 こういったサイバー攻撃は、企業に対して行われるものという先入観がありました。 しかし、調べてみると、最近では個人ブログも標的になってきていると報告があがっていました。 CloudFrontとS3で作成する静的サイトが人気になっており、特にCloudFrontの危険性について紹介したいと思います。 DDoS攻撃って？ ざっくり説明すると、ウェブサイトやサーバーに対して過剰なアクセスやデータを送付するサイバー攻撃です。 インフラストラクチャーレイヤー攻撃(レイヤー3、4)とアプリケーションレイヤー攻撃(レイヤー6、7)の２つに分類されます。 ご指摘を頂きましたので、訂正いたします。 厳密には、EDoS攻撃でした。 AWS Shield Standard AWSを利用した場合、defaultでAWS Shiel

[stk132]

タイトルがcloudfrontに対する風評被害な気がするんですが。。本当に怖いEDDOSとかのが妥当なんじゃないのか？

[kobito19]

EDoSのEは目的、DDoSのDは手段(手法)なのでコメントの指摘はなんかずれてる。しかし "同一のIPからの5分間のリクエスト数で、閾値を超えると以降はブロック" は、ほんまもんの D には効果的では無いのでは

[Eiichiro]

CDNなんだから、ええ感じにやって欲しいが、本音よね。 イメージだけど、AWSは機能を売って、fastryやcludflareはサービスを売ってる感じがする。

[helldeath]

従量課金のCDNつこてたら数千倍アクセスの攻撃で課金額エグいでって話か。

[Keisuke69]

こういうの今はEDoS攻撃っていうのか。本質的にはCloudFrontがどうこうって話ではない気が

[randynet]

"サーバーに対しての攻撃ではなくお財布を狙った攻撃になるのです。"

[tmatsuu]

EDoS（Economic Denial of Sustainability）攻撃。CloudFrontはキャッシュで返しても従量課金が発生。効率的であればあるほどバックエンドが負荷にならずトラフィックが増えていたことに気付きにくい。罠

[yutaro1985]

CloudFrontが危ないみたいな誤解を生みそうなタイトル。これはEC2のみだろうとALBを使っていようと発生することなので、いずれにしても考慮は必要だよね、という話では。

[umai_bow]

Cloudfront外せば

[bouzuya]

EDoS

[kvx]

AWS Shield Advancedは？って思ったけど高いのかな。DDoSの請求は返ってくる。費用は知らない。

[remonoil]

CloudFrontはWAFありきだと思う。AWSの売り方がおかしい

[ssids]

従量課金のCDN事業者はアクセス抑制することに対して（CDNサービス全体への DoS にならない限り）利益相反になるかなぁ？

[queeuq]

なかなかこれはひどい。。。

[nabinno]

CloudFront関係なく、単なるWAF案件

[tzccinct]

EDoS = Economic Denial of Service.

[irimo]

何が目的なの〜

[poliphilus]

静的ブログ運営など、素直に古来よりある安い定額制レンサバを借りる方がいいのでは。

[ya--mada]

cdnに載せたいサイトなのかを検討すべき。2,3日落ちててもなんら損失しないならcdn不要。乗っ取り改ざん漏えいならwafと監視。/なるほど、嫌がらせ成分である多目の人もいるのか…、 https://blog.flatt.tech/entry/edos_aws

[pj_lim]

無設定に近い形で運用してるからでは？ wafも提供されてるんだし、それするだけでほとんど回避できると思うんだが。

[rjge]

怖いのはCloudFrontではなく、無防備なCloudFrontへのEDos攻撃だった。Organization記事でもこういうタイトルにしちゃうんだな

[pwatermark]

はー、財布狙いでCloudFrontに大量転送させちゃうわけか、明確に悪意を持った嫌がらせだな で、AWSはコレを愚直に顧客へ請求するの？

[el-condor]

CreateInvalidation破産の話ではなかった。まあちゃんと監視しましょうという話ではある。

[rgfx]

EDoS対応策としてのWAS WAFかー。

[JULY]

CloudFront が怖い、じゃなく、転送量やリクエスト数で課金するもの共通で、それが怖いならちゃんとモニタリングして、ちゃんと対策しておけ、というだけ。まぁ、そもそもAWSは個人向けサービスじゃないし。