如何保护AWS API网关端点免受DDos攻击

Question

最近我一直在使用AWS API网关，在那里我创建了一个API，并使用API密钥和Cognito(OAuth(对其进行保护。

有一天，我发现我的API被访问了10万次，但由于攻击者无法访问而失败

我的问题是：亚马逊会对未经授权的api调用收费吗？如果他们收费，那么如何保护它。正如我所理解的，即使我把WAF放在它前面，我的API url仍然会被暴露。。。。

任何帮助都将不胜感激。。。

Answer 1

如果使用以下授权类型保护端点：AWS_IAM、CUSTOM和COGNITO_USER_POOLS，API网关将不会对失败的请求收费。请参考定价文档。另请参考带有Lambda集成的安全AWS API网关

Answer 2

您所描述的是一种类型的DDoS攻击。

这是您需要做的，以保护您的API Gateway Endpoint免受DDoS攻击。

1) Create your API
2) Setup CloudFront distribution to your API
3) Front your CloudFront distribution with AWS WAF.
4) Create ACL rule and set requester limit to what you deem appropriate.
5) Test.

您仍然需要使用AWS_IAM或Cognito来完成授权部分。

以下是详细说明步骤的文档：

https://aws.amazon.com/blogs/compute/protecting-your-api-using-amazon-api-gateway-and-aws-waf-part-i/