Beste Europese alternatieven voor AWS Shield

Waarom mensen AWS Shield verlaten

De meeste mensen die dit lezen, hoeven niets te kopen. Shield Standard kost niets, staat voor elke AWS-klant aan zonder dat erom gevraagd wordt en vangt de gebruikelijke aanvallen op netwerk- en transportlaag op. Als dat is wat je hebt en er is niets misgegaan, dan is er hier geen probleem om op te lossen.

Het gesprek begint pas bij Shield Advanced, en het eerste wat we moeten rechtzetten is de prijs. Overal wordt $3,000 per maand genoemd, maar dat is alleen het abonnement. Er geldt een contract van een jaar, dus de werkelijke ondergrens is $36,000.

Daarbovenop komen kosten voor dataverkeer van $0.025 per gigabyte via CloudFront en $0.050 via Elastic Load Balancing, EC2 en Global Accelerator. En het Shield Response Team, het deel waarvoor mensen denken te betalen, vereist ook een Business- of Enterprise-supportabonnement. Enterprise Support begint bij $5,000 per maand.

Het structurele punt weegt zwaarder dan het geld. Shield Advanced beschermt zes soorten AWS-resources: EC2-instanties, Elastic Load Balancing, CloudFront, Global Accelerator, Route 53 en Elastic IP-adressen. Je kunt het niet op een server in een datacenter in Frankfurt zetten of op een origin die je zelf beheert. Het is een functie van een omgeving en beschermt precies zoveel van je organisatie als die omgeving dekt.

• Het beschermt alleen wat al binnen AWS staat Een organisatie waarvan de publieke diensten zijn verdeeld over AWS en iets anders, zoals een gecoloceerde origin, een Europese host of de stack van een overgenomen bedrijf, koopt bescherming voor de ene helft en laat de andere helft zoals die was. Elke Europese aanbieder op deze pagina staat voor wat je origin ook is, omdat het diensten zijn en geen accountfuncties. Dat is geen marketingverschil, het is de hele architectuur.
• De genoemde prijs is een fractie van de vastgelegde prijs $3,000 per maand met een contract van een jaar is $36,000, nog voordat er ook maar één gigabyte verkeer is verstuurd. Tel daar $0.025 per gigabyte via CloudFront of $0.050 via een load balancer bij op, en een echt druk gebruikte dienst voegt er duizenden toe. Reken dan ook de support mee, want toegang tot het Shield Response Team vereist Business of Enterprise, en Enterprise Support heeft een eigen maandelijkse ondergrens van $5,000. Reken de hele stack door, anders schrik je van de tweede factuur.
• Kostenbescherming is een verzekering tegen een probleem dat het factuurmodel zelf creëert Shield Advanced bevat DDoS-kostenbescherming: servicekredieten voor schaalkosten die worden veroorzaakt door aanvalsverkeer op beschermde resources. Het is een echt nuttige functie en het is de moeite waard om te begrijpen wat het is. AWS factureert je het verkeer dat een aanvaller stuurt, dus een aanval is zowel een financiële gebeurtenis als een beschikbaarheidsprobleem, en de oplossing is een krediet dat je achteraf aanvraagt. Een aanbieder die aanvalsverkeer absorbeert zonder het aan jou door te rekenen, brengt het risico niet eens teweeg.
• Het bedrijf dat je verdedigt, valt onder een buitenlandse rechter Een DDoS- en firewalllaag beëindigt TLS en inspecteert elk verzoek in leesbare vorm: inloggegevens onderweg, formuliercontent, bezoekersadressen en gedrag. Amazon Web Services, Inc. zit in Seattle, dus de entiteit die die inspectie uitvoert, is Amerikaans, ongeacht in welke regio je resources staan. Voor een bank, een nutsbedrijf of een overheidsinstantie hoort de vraag wie de inspectie uitvoert bij de beoordeling, en is het geen voetnoot.

Wat je moet vervangen, niet alleen evenaren

Bepaal welke drie dingen je koopt, want ze worden samen verkocht en als één prijs geboden.

Het eerste is absorptie: voldoende netwerkcapaciteit om een volumetrische aanval op te vangen voordat die je bereikt. Het tweede is filtering: een webapplicatiefirewall en bot management die bepalen welke verzoeken legitiem zijn, en daar worden aanvallen op applicatieniveau daadwerkelijk gestopt. Het derde zijn mensen: het Shield Response Team, ingenieurs die je tijdens een incident kunt bereiken, en de reden waarom veel organisaties Advanced überhaupt kopen.

Bunny.net en Gcore leveren het eerste als onderdeel van de levering, zonder aparte kosten. Gcore voegt een flink deel van het tweede toe op de lagen 3, 4 en 7. Myra Security is het enige item hier dat alle drie levert, met eigen analisten die de rol van het Shield Response Team vervullen, en dat is de reden waarom het op deze pagina bovenaan staat.

De alternatieven vergeleken

Hoe elk alternatief zich verhoudt tot AWS Shield

Wat er echt stukgaat als je overstapt

Het vergrendelen van de origin is de stap die mensen fout doen. Zodra een Europese aanbieder het publieke eindpunt is, moeten je AWS-resources al het andere weigeren, anders kan een aanvaller die het adres van de load balancer vindt, gewoon om de bescherming heen. Security group-regels die beperkt zijn tot de gepubliceerde adresbereiken van de aanbieder, van buitenaf gecontroleerd, maken het verschil tussen een filter en een suggestie.

De regelset komt niet met je mee. WAF-regels, ratelimieten, geografische blokkades en botbeleid die voor AWS WAF zijn geschreven, bevatten jaren aan specifieke beslissingen over je eigen verkeer, en er is geen exportpad naar het formaat van een andere leverancier. Bij een beheerde aanbieder is dat opnieuw opbouwen onderdeel van de onboarding. Bij zelfbediening is het jouw werk, en dat is het deel dat het meest kans maakt om haastig te worden gedaan en half af te blijven.

En houd rekening met het uitgaande verkeer waarvoor je straks gaat betalen. Een beschermingslaag buiten AWS haalt gegevens uit een AWS-origin via het publieke internet, dus Amazon brengt standaard dataoverdracht naar buiten in rekening over verkeer dat eerder binnen het account bleef. Voor een goed gecachete site is dat klein; voor een dynamische applicatie waarbij de meeste verzoeken de origin bereiken, reken het door voordat je vastlegt, want het kan stilletjes meer kosten dan wat je voor Shield betaalde.

Hebben we Shield Advanced überhaupt nodig?

Waarschijnlijk niet. Shield Standard beschermt elke AWS-klant al tegen de gebruikelijke floods op netwerk- en transportlaag, en het is inbegrepen. De eerlijke toets is of iemand een incident kan noemen waarbij Standard tekortschoot, of dat een toezichthouder, een verzekeraar of een klantcontract een gedocumenteerde mitigatiedienst verplicht.

Advanced verdient zijn geld in een beperkt aantal gevallen: een dienst waarvan een storing een publieke gebeurtenis is, een organisatie die gerichte aanvallen op applicatieniveau krijgt, of een organisatie die al is getroffen en een response team op retainer nodig heeft. Als geen van die situaties op jou van toepassing is, kost het abonnement $36,000 per jaar voor een gevoel.

De andere reden waarom mensen het kopen is kostenbescherming: een verzekering tegen de rekening die een aanval veroorzaakt. Dat is op AWS een reëel probleem en elders een kleinere, omdat het alleen bestaat doordat aanvalsverkeer aan jou wordt doorberekend.

Wat kost Shield Advanced werkelijk als je alles meetelt?

Het abonnement kost $3,000 per maand bij een jaarcontract, wat $36,000 is vóór het gebruik. Dataoverdracht op beschermde resources kost $0.025 per gigabyte via CloudFront en $0.050 via Elastic Load Balancing, EC2 en Global Accelerator, dus een dienst die vijftig terabyte per maand via een load balancer verplaatst, komt er flink bovenop.

Dan is er de support. Het Shield Response Team is beschikbaar voor klanten met een Business- of Enterprise-supportabonnement, dus als je nu op Basic zit, moet je er een toevoegen. Business Support+ kost het hoogste van $29 per maand of een percentage van je AWS-kosten dat begint bij negen procent; Enterprise Support begint bij $5,000 per maand.

Voor een AWS-omgeving van middelgrote omvang ligt het realistische jaarbedrag ruim boven $50,000. Dat is geen argument tegen aanschaf, maar het is het getal om te vergelijken met een Europese offerte, niet met de aangekondigde prijs van $3,000.

Kan Shield iets beschermen dat niet in AWS staat?

Nee. De beschermde resourcetypen zijn EC2-instanties, Elastic Load Balancing, CloudFront-distributies, Global Accelerator, Route 53 en Elastic IP-adressen. Er bestaat geen configuratie waarmee Shield voor een origin kan worden gezet die je zelf hostt of voor een server bij een andere aanbieder.

Dat is het duidelijkste structurele verschil op deze pagina. Een reverse-proxy-DDoS-dienst, en dat zijn Myra, Gcore en Bunny.net allemaal, staat vóór wat er ook antwoordt op je domein, dus de origin kan een server in Frankfurt zijn, een Europese host of een andere cloud helemaal.

Voor organisaties die midden in een migratie zitten of een omgeving hebben die door overnames is ontstaan, beslist dit meestal de vraag al. Bescherming die bij de rand van één account stopt, is geen bescherming van de organisatie.

Is de ingebouwde DDoS-bescherming van een CDN goed genoeg om dit te vervangen?

Voor Shield Standard, ja, en ruim voldoende. Bunny.net en Gcore absorberen volumetrische aanvallen over hun netwerk als onderdeel van de levering, zonder apart abonnement en zonder verplichting. Een site die het met Standard prima zou hebben gehad, redt het met beide ook prima.

Voor Shield Advanced, nee, en het zou oneerlijk zijn om anders te beweren. Advanced voegt bescherming op applicatieniveau toe met een beheerde regelset, automatische mitigatie die is afgestemd op je verkeer, en een response team. Gcore mitigeert op de lagen 3, 4 en 7 en komt een eind op weg; Bunny.net is bescherming op CDN-niveau en geen beheerde beveiligingsdienst, en de eigen positionering beweert zelf ook niet meer.

Als de eis echt op het niveau van Advanced ligt, is Myra Security het item op deze pagina dat daaraan voldoet, en dat wordt ook zo geprijsd en bemand.

Welke kies je

Als je alleen Shield Standard hebt en er is niets misgegaan, is het eerlijke advies om alleen op beveiligingsgronden niets te veranderen. Verhuis het wanneer je ook het ding verhuist dat het beschermt, en Bunny.net of Gcore dekt hetzelfde terrein voor een Europese origin.

Als je Shield Advanced betaalt en je omgeving niet volledig binnen AWS staat, koop je gedeeltelijke bescherming tegen een ondergrens van $36,000. Myra Security dekt de hele organisatie, en voor een gereguleerde organisatie beantwoordt de BSI-certificering een vraag die geen Amerikaanse leverancier kan beantwoorden.

Als je echt filtering op laag 7 nodig hebt maar het Advanced-abonnement niet kunt verantwoorden, vult Gcore het terrein dat AWS leeg laat: een gratis variant om te testen, plannen vanaf €25, en mitigatie op alle drie de lagen zonder jaarcontract.

En als je Shield Advanced gebruikt omdat een toezichthouder, een verzekeraar of een grote klant een benoemde mitigatiedienst met mensen erachter eist, dan is die eis terecht en voldoet een goedkopere CDN er niet aan. Vervang het door een andere beheerde dienst, niet door een cache.