S3 和 CloudFront --> Ddos 和其他攻击如何影响账单 --> 如何保护？答案

【问题标题】：S3 and CloudFront --> how Ddos and other attacks affect bills --> how to protect?S3 和 CloudFront --> Ddos 和其他攻击如何影响账单 --> 如何保护？
【发布时间】：2016-12-11 04:23:39
【问题描述】：

我正在建立一个 Kickstarter / Indiegogo 活动。这是一个预算敏感的项目，对服务器/AWS 的了解有限。在我们的演示网站上，我们将展示来自 Amazon S3 或 CloudFront（最好是 CloudFront）的 360 度视频。

我们完全不了解

1 - 限制我们的 AWS 账单，以防有人（或机器人）有不良动机 --> 攻击我们的项目

2 - 了解 Ddos 或其他攻击究竟会对我们的 CloudFront 带宽造成什么影响

3 - 签名 URL、WAF 和其他 S3 或 CloudFront 保护如何保护我们？

4 - !!!

4A -- 假设我在 CLoudFront 上有一个 300 MB 的视频文件。如果我们使用签名 URL 或其他建议的保护，300MB 的视频文件是否会被攻击和下载无数次，从而产生巨额账单？

4B - 事实上，我们的网页不在 Amazon AWS 上（它在 hostgator 上），用户必须单击按钮才能启动 CLoudFront 视频，这是对大量视频下载的半保护吗？

5 - 如果视频在 S3 而不是 CloudFront 上（可能由于其他原因发生），我们如何保护自己？

6 - 我对这一切感到非常害怕，我实际上可能会寻求另一项服务，我们可以限制我们的即用即付使用量，并在我们超过预设金额时停止一切。是否有任何 AWS 替代方案可以做到这一点并适合高清视频播放？

7 - 如果我们发现有问题，如何立即停止使用 CloudFront？

8 - 这些攻击有多普遍，有多现实？请记住，Kickstarter 项目确实有起飞的潜力。

感谢任何帮助！谢谢！

【问题讨论】：

AWS 有累积计费警报，CloudFront 等服务有日志。打开它们并使用它们。
我知道警报 ---> 1) 但它不会停止服务，以防账单突然开始飙升并达到预定义的限制。 2) 如果我们在现场待了 2-3 天，而我收到此警报怎么办.. 无能为力，也许我什至不会阅读警报，直到为时已晚。 AZURE 支出限制--> 我刚刚读到 Azure 将实施支出限制，即使是现收现付。发生这种情况时，我们将在一秒钟内从 Amazon 切换到 Azure。但我们现在需要安心，所以我不确定什么是最好的。我什至不知道受到这种攻击的可能性有多大？有什么想法吗？

标签： amazon-web-services amazon-s3 amazon-cloudfront ddos

【解决方案1】：

Amazon S3 不提供任何成本上限功能来防范恶意行为者。任何 IP 阻止解决方案都不适用于 DDOS，DDOS 本质上来自广泛分布的 IP 地址。此外，S3 下提供的成本报告和预算警告功能对可能在几分钟内下载数万份文件的同步 DDOS 无效。

我能看到的唯一合理的解决方案是通过您的网络服务器上的下载页面来限制对视频文件的访问，如下所示：

为您的视频文件定义身份和访问管理 (IAM) 策略，以仅允许访问来自您的 Web 服务器的请求。为此使用 IpAddress 策略指令。查看详情

http://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html

注意：您可能会花几天时间来了解和测试 IAM 实施细节。有一些 3rd 方实用程序可能在这方面有所帮助。

在您的下载页面上放置验证码
访问者解析验证码，然后 Web 服务器显示到所请求的 S3 视频文件的链接。

【讨论】：

谢谢！根据您的经验：A) 这些攻击有多普遍，众筹项目的主页受到攻击的可能性有多大？ B）（！！）这些攻击是否需要坏人输入，或者自动机器人也可以随机执行此操作（基本上只是随机选择网站） C）坏人如何瞄准他们的下一个受害者？他们主要攻击较大的机构、知名参与者，还是也针对较小的机构？

【解决方案2】：

我建议您使用 Cloudfront 和 AWS WAF 实施 IP 阻止，您可以在 IP 地址超出特定限制后对其进行限制或阻止。签名 URL 也是一个不错的策略，但到期时间会限制授权的生命周期，以便任何拥有签名 URL 的人执行允许的操作。

因此，AWS Cloud Front 和 WAF 是您抵御 DDOS 攻击的最佳选择。有关如何设置的更多信息，请查看本指南。

https://docs.aws.amazon.com/waf/latest/developerguide/tutorials-rate-based-blocking.html

【讨论】：