mcpField
S
shieldadvanced

shieldadvanced

github.com/awsセキュリティ3.3k4.1k 回インストール今日更新
リポジトリ

shieldadvanced について

AWS Shield Advanced の設定を支援するドメインスキルです。サブスクリプション、リソース保護、自動緩和、イベント確認、防護グループの手順を提供し、ヘルスベース検知や SRT 支援などの役割を区別します。

主な機能

  1. 01サブスクリプションと保護対象の追加
  2. 02アプリケーション層の自動緩和設定
  3. 03ヘルスベース検知の設定
  4. 04SRT 支援とプロアクティブエンゲージメントの設定
  5. 05DDoS イベント確認とコスト保護の申請
  6. 06防護グループによるリソース集約

活用シーン

  1. 01アカウントでの登録とリソース保護
  2. 02アプリケーション層攻撃時の AWS WAF ルール適用
  3. 03Route 53 ヘルスチェックを用いた検知
  4. 04SRT 支援の依頼や攻撃関連費用の確認

MCP 対応

接続時は AWS MCP サーバーを使い、サンドボックス実行、監査ログ、可観測性を備えてコマンドを実行します。未接続時は AWS CLI を使用します。Shield Advanced のコントロールプレーンコマンドは us-east-1 で実行します。

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/aws/agent-toolkit-for-aws --skill shieldadvanced

インストール後、Claude Code で/shieldadvancedを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

references/
aggregating-resources-into-protection-groups.md
configuring-health-based-detection.md
deciding-between-shield-standard-and-advanced.md
enabling-automatic-application-layer-mitigation.md
reviewing-ddos-events-and-requesting-cost-protection.md
setting-up-srt-support-and-proactive-engagement.md
subscribing-to-shield-advanced-and-protecting-resources.md

詳細

AWS Shield Advanced

概要

常時有効な AWS Shield Standard に加えて、強化された分散型サービス拒否（DDoS）保護、自動アプリケーションレイヤー緩和、攻撃の可視化、専門家によるサポート、コスト保護を提供する有料プラン、AWS Shield Advanced の設定に関するドメイン知識です。サブスクリプション登録とリソースの保護、自動アプリケーションレイヤー緩和、ヘルスベースの検出、Shield Response Team（SRT）へのアクセスとプロアクティブなエンゲージメント、イベントの確認とコスト保護クレジット、保護グループについて説明します。

このスキルはルーターです。各顧客のタスクは、references/ 配下の手順ファイルに対応しています。作業を行う前に、該当するリファレンスをすべて読み、その制約と手順に従ってください。リファレンスファイルは自己完結しており、それぞれに独自の判断表、制約、手順、トラブルシューティングが含まれています。

接続時は AWS MCP サーバーを使用してコマンドを実行してください（サンドボックス化された実行、監査ログ、可観測性）。それ以外の場合は AWS CLI を使用してください。Shield Advanced はグローバルサービスです。コントロールプレーンの API 呼び出しは us-east-1 で実行されるため、すべての aws shield コマンドに --region us-east-1 を指定してください。

どの Shield Advanced タスクを行いますか？

目標リファレンス
Shield Advanced が必要かどうかを判断する（Shield Standard + AWS WAF との比較）Shield Standard と Advanced の選択
アカウントをサブスクリプション登録し、リソースを保護対象に追加するShield Advanced のサブスクリプション登録とリソースの保護
AWS WAF を通じてレイヤー 7 のフラッドに自動的に対応する自動アプリケーションレイヤー緩和の有効化
Route 53 ヘルスチェックを使用して、リソースのヘルス状態を検出に反映させるヘルスベースの検出の設定
攻撃中に Shield Response Team に対応してもらう、または連絡を受けるSRT サポートとプロアクティブなエンゲージメントの設定
DDoS イベントを確認し、攻撃によるスケーリング料金の補填を申請するDDoS イベントの確認とコスト保護の申請
関連するリソースを検出上の 1 つの単位として扱うリソースを保護グループに集約

ルーティングに関する注意事項

  • サブスクライブする前に判断してください。 Shield Advanced は有料のサブスクリプションで、1 年間の契約期間で自動更新されます。サブスクライブする前に、顧客が本当に必要としているか確認してください。無料で常時有効な Shield Standard に、AWS WAF のレートベースのルールと AWS WAF Anti-DDoS マネージドルールグループ（AWSManagedRulesAntiDDoSRuleSet）を組み合わせれば、多くのレイヤー 7 のケースに低コストで対応できます。顧客がまだ判断していない場合は、まず判断に役立つリファレンスに案内してください。WAF ルールそのものについては waf スキルに案内してください。
  • サブスクライブと保護を最初に行います。 サブスクリプションだけでは何も保護されません。リソースを明示的に追加する必要があります。ここにある他のすべてのタスクは、リソースがすでにサブスクライブされ、保護されていることを前提としています。顧客が初めて設定する場合は、他の作業の前にサブスクライブに関するリファレンスを実行してください。
  • 自動緩和とヘルスチェックベースの検出は別の機能です。 顧客はこの 2 つを混同しがちですが、別々の制御機能です。自動アプリケーションレイヤー緩和では、レイヤー 7 攻撃中に AWS WAF ルールがデプロイされます。ヘルスチェックベースの検出では、Route 53 ヘルスチェックを Shield Advanced の検出機能に連携させ、より早く反応できるようにします。顧客はどちらか一方、両方、またはどちらも利用しない選択ができます。実際に求めているものに合ったリファレンスを選んでください。
  • ヘルスチェックは SRT の前提条件でもあります。 プロアクティブエンゲージメント（SRT からの連絡）には、保護対象リソースの Route 53 ヘルスチェックが必要です。顧客がプロアクティブエンゲージメントを希望する場合は、ヘルスチェックベースの検出を設定することが準備段階となります。SRT に関するリファレンスでは、この手順としてヘルスチェックベースの検出に関するリファレンスを案内しています。
  • 保護グループは検出専用です。 保護グループを使うと、Shield Advanced がリソースのグループ全体でどのように検出するかを変更できます。共有の緩和策は適用されません。自動緩和は引き続きリソースごとに機能します。検出の調整には保護グループに関するリファレンスを使い、緩和制御としては使わないでください。
  • WAF ルール、ヘルスチェック、組織全体への展開は、別の場所で扱います。 AWS WAF ルール、レートベースのルール、またはウェブ ACL の作成は waf スキルで扱います。Route 53 ヘルスチェックの作成は route53 スキルで扱います。Firewall Manager を使った Shield Advanced の組織全体への展開は firewallmanager スキルで扱います。このスキルでは Shield Advanced をこれらの要素に連携させますが、それらを作成するものではありません。Shield Advanced と併せて AWS WAF を使うことは任意ではありません。多層防御として、インターネットに公開されているすべての保護対象リソース（CloudFront ディストリビューションと Application Load Balancer）に AWS WAF ウェブ ACL を推奨してください。Shield Advanced と AWS WAF は、レイヤー 3／4 とレイヤー 7 をそれぞれ担う相補的な制御機能です。また、AWS WAF が提供するレートベースのルールは、コスト保護にも必要です。

ロギングとモニタリング

ここにあるすべてのタスクで、設定変更と攻撃アクティビティの両方を可視化することが重要です。

  • 監査目的で、Shield Advanced のすべての API 呼び出し（サブスクリプション、保護、SRT、保護グループの変更）を記録できるよう、AWS CloudTrail の有効化を推奨してください。
  • CloudTrail の記録には、暗号化して保管する必要のある機密性の高い API メタデータ（呼び出し元の ID、リソース ARN、パラメーター）が含まれるため、CloudTrail のログバケットと CloudWatch Logs のロググループで SSE-KMS 暗号化を有効にすることを推奨してください。
  • イベントが検出されたときに運用担当者へ通知されるよう、Shield Advanced のメトリクス（例：DDoSDetected や DDoSAttackBitsPerSecond）に対する CloudWatch アラームの設定を推奨してください。
  • 通知には機密性の高いイベントデータが含まれるため、これらのアラームに使う SNS トピックを SSE-KMS で暗号化することを推奨してください。
  • Shield Advanced のアラームに関するすべての SNS トピックの購読者が、機密性の高い DDoS イベント通知の受信を許可された担当者であることを確認するよう推奨してください。

セキュリティに関する考慮事項

Shield Advanced のセットアップでは IAM の信頼関係を作成し、ログデータを公開するため、リスクと、それを抑えるための対策を明記します。

  • SRT ロールはサードパーティのプリンシパルです。 SRT にアクセスを許可すると、アカウント内で操作を行うために drt.shield.amazonaws.com が引き受ける IAM ロールが作成されます。混乱した代理人による引き受けを防ぐため、信頼ポリシーのスコープをアカウント ID と一致する aws:SourceAccount 条件で制限し、必要なアクションのみを許可します。不要になったら disassociate-drt-role でロールの関連付けを解除してください。
  • SRT と共有するログバケットからデータが漏えいする可能性があります。 AWS WAF とアクセスログには、リクエスト URI、ヘッダー、クライアント IP が記録されます。SRT と共有する前に、これらのバケットでサーバー側の暗号化が有効になっており、平文の個人情報（PII）やシークレットが含まれていないことを確認してください。
  • オペレーターには最小権限を適用します。 呼び出し元の IAM 権限は、広範な Shield 権限や管理者アクセスではなく、各手順に必要な最小限に制限してください。
  • 監査証跡を確保します。 AWS CloudTrail を有効にし、shield:* の呼び出しを記録して、すべての設定変更が記録に残るようにしてください。

その他のリソース

コメント

Markdown 対応