AWS Shieldは、AWS上の公開サービスをDDoS攻撃から守るためのマネージド型保護サービスです。すべてのAWS利用者が追加料金なしで利用できるAWS Shield Standardと、重要な公開アプリケーション向けに追加保護や可視化を提供する有料のAWS Shield Advancedがあります。
結論からいうと、小規模なWebサイトや検証環境ではStandardで十分な場合があります。一方で、停止が売上、問い合わせ、契約、ブランド信頼に直結するサービスでは、Advancedを「セキュリティ機能」だけでなく「事業継続のための保険に近い投資」として検討する価値があります。
DDoSとは、複数の端末やネットワークから大量の通信を送り、正規の利用者がサービスへアクセスしにくい状態を作る攻撃です。攻撃の種類には、回線やネットワーク容量を埋めるもの、通信プロトコルの性質を悪用するもの、Webリクエストを大量に送るものがあります。AWS Shieldを選ぶときは、単に「無料か有料か」ではなく、どの入口をどの攻撃から守るのかを明確にすることが大切です。DDoS対策全体を広く見直したい場合は、AWS Shield完全ガイドも参考になります。
まず押さえたい判断基準
- Standardで十分になりやすいケース: 小規模サイト、検証環境、社内向けに近いサービス、DDoS以外のリスク対策を優先すべき段階。
- Advancedを検討すべきケース: ECサイト、予約システム、重要API、会員向けサービスなど、停止が事業影響に直結する公開サービス。
- 費用判断の軸: 月額料金だけでなく、データ転送量、AWS WAF関連費用、サポート契約、1年契約の前提、攻撃時の運用体制を合わせて見る。
- 実務上の結論: StandardかAdvancedかの二択ではなく、CloudFront、Route 53、ELB、AWS WAF、監視、復旧手順を含めて防御設計を決める。
AWS Shield StandardとAdvancedの違い
| 項目 | AWS Shield Standard | AWS Shield Advanced |
|---|---|---|
| 位置づけ | AWS利用時に自動的に適用される基本的なDDoS保護。 | 重要なインターネット公開アプリケーション向けに契約する追加保護。 |
| 主な保護対象 | AWS上のアプリケーションに対する一般的なネットワーク層・トランスポート層のDDoS攻撃。特にAmazon Route 53、Amazon CloudFront、AWS Global Acceleratorでは効果を得やすい。 | Amazon EC2、Elastic Load Balancing、Amazon CloudFront、AWS Global Accelerator、Amazon Route 53などの対象リソース。 |
| 可視化と運用支援 | 基本保護が中心。詳細なイベント可視化や専門支援は限定的。 | 対象リソースの追加保護、イベント可視化、アプリケーション層のDDoS対策、条件を満たす場合の専門支援を利用できる。 |
| 費用 | 追加料金なし。 | 月額料金、データ転送量などに応じた利用料金、AWS WAFの追加機能費用などを確認する必要がある。 |
| 向いているケース | 追加コストを抑えながら基本的な可用性を確保したいサイトや小規模サービス。 | 停止時の損失が大きいサービス、攻撃対象になりやすいサービス、対応体制を強化したい運用。 |
無料版のAWS Shield Standardで十分なケース
AWS Shield Standardは、AWSを使っているだけで有効になる基本保護です。DDoS対策を考える最初の段階では、まずStandardを前提にし、必要に応じてAWS WAF、監視、アラート、バックアップ、復旧手順を組み合わせる考え方が現実的です。
小規模なWebサイトや検証環境
アクセス規模が小さく、停止してもすぐに大きな売上損失や顧客対応の混乱につながりにくいサイトでは、Advancedの固定費を負担するよりも、基本構成の見直しを優先した方がよい場合があります。たとえば、検証環境、個人事業の紹介サイト、小規模メディア、社内向けに近い管理画面などでは、まずStandardと通常の運用対策を整える判断がしやすくなります。
DDoSより優先度の高いリスクがある
サービスによっては、DDoSよりも脆弱性対応、認証管理、不要な公開ポートの閉鎖、バックアップ、アプリケーションの入力チェックの方が優先されます。DDoS対策だけを強化しても、ログイン保護やパッチ適用が弱ければ、全体の安全性は上がりません。AWS Shield、AWS WAF、GuardDuty、Security Hubなどの役割を整理したい場合は、AWSセキュリティサービスの使い分けを先に確認すると判断しやすくなります。
CloudFrontやRoute 53などで入口を整理している
Amazon CloudFront、Elastic Load Balancing、Amazon Route 53などを適切に使うと、配信、名前解決、負荷分散の面で可用性を高めやすくなります。Standardの基本保護とこれらの構成を組み合わせれば、多くの一般的なWebサイトでは実用的な防御線を作れます。
月額固定費を増やしにくい段階
スタートアップ、個人事業、小規模サービス、検証段階のプロジェクトでは、毎月の固定費を増やしすぎないことも重要です。Advancedを契約する前に、まずは公開範囲の整理、WAFルールの確認、監視通知、復旧手順の整備など、費用を抑えて改善できる項目を確認してください。
AWS Shield Advancedを検討すべきケース
AWS Shield Advancedは、すべてのAWS環境に必要なサービスではありません。検討すべきなのは、DDoS攻撃による停止や遅延が事業に直結し、追加費用を払ってでも保護、可視化、支援体制を強化したい場合です。
停止が売上や信頼に直結する公開サービス
ECサイト、予約システム、金融系サービス、重要なAPI、会員向けポータルなどでは、短時間の停止でも売上、問い合わせ、契約、信用に影響することがあります。このようなサービスでは、DDoS対策を単なるインフラ機能ではなく、事業継続のための投資として評価する必要があります。
攻撃対象になりやすいサービス
キャンペーン期間、メディア露出、競争の激しい業界、社会的に注目されやすいサービスでは、通常より攻撃対象になる可能性を高く見積もるべきです。過去にDDoSに近いトラフィック急増を経験している場合も、Advancedを検討する材料になります。
専門的な支援や詳細な可視化が必要な運用
Advancedでは、対象リソースへの拡張DDoS保護、イベント可視化、アプリケーション層のDDoS保護などを利用できます。ただし、AWS Shield Response Teamへ問い合わせるには、AWS Premium SupportのBusinessまたはEnterprise Supportが必要です。契約前に、保護機能だけでなく、自社のサポート契約、連絡手順、障害対応の担当範囲も確認してください。
DDoSコスト保護を含めて評価したい
DDoS攻撃を受けると、通常より大きな通信量やスケールアウトが発生し、請求額に影響することがあります。Advancedには、条件を満たす場合にDDoS攻撃に伴うスケーリング費用の保護を申請できる仕組みがあります。これは「費用が必ずゼロになる」という意味ではないため、対象リソース、申請条件、サポート経路を事前に確認しておくことが重要です。
AWS Shield Advancedの費用で確認すべきこと
2026年7月4日に確認したAWS公式料金ページでは、AWS Shield Advancedは1年のサブスクリプションコミットメントが前提で、月額料金に加えて、対象サービスのデータ転送量などに応じた利用料金が発生します。料金例では、月額料金として3,000米ドルが示されています。
ただし、実際の費用は月額料金だけでは判断できません。次の点を合わせて確認してください。
- どのAWSアカウント、どのリソースを保護対象にするか。
- Amazon CloudFront、Elastic Load Balancing、EC2、AWS Global Acceleratorなどのデータ転送量。
- AWS WAFの利用状況、リクエスト数、WCU、Bot ControlやFraud Controlなど追加料金が発生しうる機能。
- Shield Advancedで保護していないリソースにAWS WAFを使う場合の費用。
- DDoSコスト保護の対象、条件、申請手順。
- BusinessまたはEnterprise Supportが必要になる運用要件。
- 1年契約と自動更新の扱い。
Advancedの費用は小さくありません。そのため、「DDoS対策を強くしたい」という漠然とした理由ではなく、停止時の損失額、復旧に必要な体制、攻撃時の対応責任、既存のWAFや監視の成熟度を合わせて評価することが重要です。
選び方の実務チェックリスト
- 守る対象を明確にする。 公開Webサイト、API、ロードバランサー、DNS、CDNなど、停止すると困る入口を洗い出します。
- 停止時の影響を見積もる。 売上、問い合わせ、契約、ブランド信頼、社内業務への影響を確認します。
- 現在の構成を確認する。 CloudFront、Route 53、ロードバランサー、WAF、監視、アラート、復旧手順が整っているかを確認します。
- Standardで足りない理由を言語化する。 追加保護、専門支援、DDoSコスト保護、アプリケーション層対策など、Advancedに期待する役割を具体化します。
- 費用と契約条件を確認する。 月額料金、データ転送料、WAF関連費用、サポート契約、1年コミットメント、自動更新を確認します。
- 攻撃時の対応手順を決める。 誰がAWS Supportへ連絡し、誰がWAF設定やルーティング変更を判断し、誰が社内外へ連絡するのかを決めます。
- 定期的に見直す。 サービス規模、攻撃リスク、売上構造、運用体制が変われば、必要な保護レベルも変わります。
まとめ
AWS Shield Standardは、追加料金なしでAWS環境に基本的なDDoS保護を提供します。小規模サイト、検証環境、DDoSが主要リスクではないサービスでは、Standardを前提に、構成改善、AWS WAF、監視、バックアップ、復旧手順を組み合わせる判断が現実的です。
AWS Shield Advancedは、停止時の事業影響が大きい公開サービスや、攻撃リスクが高いシステムで検討すべき有料オプションです。月額料金、データ転送量に応じた費用、WAF関連費用、サポート条件、1年契約を含めて評価し、自社のリスクと運用体制に合うかを確認してください。
最終的には、StandardかAdvancedかではなく、どのサービスを、どの攻撃から、どの程度の費用と体制で守るのかを決めることが重要です。費用と可用性のバランスを取りながら、まずは現在の構成と運用手順を点検しましょう。