AWS Shield Advanced stapt voor Layer 7-DDoS-bescherming over op de AWS WAF Anti-DDoS Managed Rule Group. Niet iedere omgeving wordt automatisch gemigreerd. In deze blog lees je wat er verandert, hoe je controleert of jouw web ACL is gemigreerd en welke stappen je vóór het verdwijnen van de oude bescherming moet nemen.
Wat verandert er aan AWS Shield Advanced?
AWS Shield Advanced stapt voor bescherming tegen DDoS-aanvallen op de applicatielaag over op de AWS WAF Anti-DDoS Managed Rule Group. De oude automatische Layer 7-bescherming verdwijnt uiteindelijk. Bestaande omgevingen moeten daarom controleren of ze automatisch worden gemigreerd of zelf actie moeten ondernemen.
De nieuwe beveiliging wordt binnen AWS WAF beheerd onder de naam AWSManagedRulesAntiDDoSRuleSet. Deze regelgroep analyseert verkeer, herkent verdachte HTTP-verzoeken en kan deze tellen, blokkeren of een browserchallenge laten uitvoeren.
Waarom vervangt AWS de oude DDoS-beveiliging?
De nieuwe AWS WAF Anti-DDoS Managed Rule Group moet aanvallen sneller herkennen en geeft beheerders meer controle over de reactie. AWS geeft aan dat de nieuwe bescherming binnen enkele minuten een verkeersprofiel kan opbouwen en tijdens een aanval binnen seconden kan reageren.
Ook het beheer verandert. De oude bescherming werd per resource ingesteld, terwijl de nieuwe regelgroep binnen een web ACL werkt. Daarbij kun je kiezen uit Count, Block en Challenge. Ook kun je de gevoeligheid instellen op Low, Medium of High.
De nieuwe regelgroep gebruikt bovendien minder capaciteit. Waar de oude bescherming 150 WCU gebruikte, heeft de nieuwe regelgroep 50 WCU nodig. Daardoor blijft binnen dezelfde web ACL meer ruimte over voor andere beveiligingsregels. Ook krijg je uitgebreidere monitoring met extra labels, metrics en een eigen dashboard.
Wil je AWS-infrastructuren niet alleen beveiligen, maar ook leren monitoren en beheren? In Cloud Operations on AWS (AWSSYS) werk je onder andere met AWS-netwerken, CloudWatch, CloudTrail en beveiliging.
Wordt jouw AWS-omgeving automatisch gemigreerd?
Niet iedere AWS Shield Advanced-configuratie wordt automatisch gemigreerd. AWS kijkt onder andere naar de resources die aan een web ACL zijn gekoppeld en of deze dezelfde instellingen voor automatische DDoS-bescherming gebruiken.
Er zijn grofweg drie situaties:
Je web ACL wordt automatisch gemigreerd Dit geldt onder andere wanneer alle gekoppelde beschermde resources dezelfde automatische mitigatieconfiguratie gebruiken.
Je moet zelf migreren Gemengde web ACL’s of omgevingen waarin niet alle resources automatische mitigatie gebruiken, kunnen buiten de automatische migratie vallen.
Je gebruikt de nieuwe regelgroep al Dan valt de betreffende web ACL niet opnieuw onder de automatische upgrade.
Let op: AWS noemt in de actuele blog zowel 24 als 25 oktober 2026 voor de start van de automatische migratiefase. De migratieperiode is inmiddels begonnen, maar controleer daarom vooral je eigen AWS-console in plaats van alleen op de datum af te gaan.
De nieuwe regelgroep neemt daarbij de bestaande instelling over. Een configuratie die op Block stond, wordt bijvoorbeeld als Block gemigreerd. Daarna kun je de instellingen binnen AWS WAF verder controleren en aanpassen.
Wat moet je na de migratie controleren?
Controleer na de migratie eerst of AWSManagedRulesAntiDDoSRuleSet daadwerkelijk in je web ACL staat. Bekijk daarna welke actie, gevoeligheid en monitoring zijn ingesteld.
Let vooral op CloudWatch. De nieuwe regelgroep gebruikt andere metrics dan de oude bescherming. Voor Layer 7-aanvallen wordt onder andere DDoSAttackRequests gebruikt. Ook kun je labels bekijken die aangeven hoe verdacht AWS een verzoek beoordeelt.
Werk je met CloudFormation, AWS CDK of Terraform? Dan moet je ook controleren of de automatisch gewijzigde web ACL nog overeenkomt met je Infrastructure as Code. Anders kan een volgende deployment de wijziging onbedoeld terugdraaien.
Wat verandert er voor monitoring en kosten?
De nieuwe bescherming geeft meer inzicht in gedetecteerde DDoS-events. Je kunt onder andere zien welke verzoeken als verdacht worden aangemerkt, welke acties worden uitgevoerd en welke URI’s of IP-adressen veel verkeer veroorzaken.
De kosten hangen af van je AWS-configuratie en gebruik. Shield Advanced-klanten krijgen bepaalde onderdelen binnen hun abonnement, maar buiten die situatie kunnen voor de managed rule group en het verwerkte verkeer kosten gelden. Controleer daarom altijd de actuele AWS-prijsinformatie.
Wanneer moet je handmatig migreren?
Omgevingen die niet automatisch worden meegenomen, kunnen tijdens de begeleide migratieperiode handmatig overstappen. AWS noemt 28 januari 2027 als laatste dag van deze periode.
Op 29 januari 2027 stopt de oude Shield Advanced application-layer automatic mitigation. Resources die dan nog niet zijn gemigreerd naar de nieuwe Anti-DDoS Managed Rule Group verliezen deze automatische Layer 7-mitigatie.
Wacht daarom niet tot de laatste dag. Controleer nu welke web ACL’s worden gebruikt en welke resources eraan gekoppeld zijn.
Hoe bereid je jouw AWS-omgeving voor?
Begin met het inventariseren van je Shield Advanced-resources en web ACL’s. Controleer daarna in AWS WAF of de nieuwe regelgroep al aanwezig is en vergelijk je CloudWatch-monitoring met de nieuwe metrics.
Gebruik je Infrastructure as Code of AWS Firewall Manager, neem deze configuraties dan mee in je controle. Zo voorkom je dat een geautomatiseerde deployment later oude instellingen terugzet.
Wil je AWS-omgevingen breder leren beheren en beveiligen? Startel leidt al ruim 25 jaar IT-professionals op. De Cloud Operations on AWS (AWSSYS) sluit aan wanneer je AWS-infrastructuur, monitoring, netwerkbeheer en automatisering praktisch wilt leren toepassen.
Bekijk welke AWS training bij jou past
Swipe voor meer
Cloud Operations on AWS (AWSSYS)
3 dagen
Deze training is bedoeld om mensen in een systeembeheerders- of ontwikkelingsoperatiesrol (DevOps) te leren hoe ze geautomatiseerde en herhaalbare implementaties van netwerken en systemen op de AWS Cloud kunnen creëren.
Deze training richt zich op de basisprincipes van het bouwen van een IT-infrastructuur op het AWS-platform. Je leert hoe je de AWS Cloud kunt optimaliseren door inzicht te krijgen in AWS-diensten en hoe deze passen in cloudgebaseerde oplossingen.
Deze training behandelt hoe complexe oplossingen gebouwd kunnen worden die dataservices, governance en beveiliging op AWS integreren. Daarnaast krijg je een inleiding op gespecialiseerde AWS-diensten, waaronder AWS Direct Connect en AWS Storage Gateway ter ondersteuning van hybride architecture
Deze training behandelt de kernprincipes van de DevOps-methodologie en bestudeert een aantal use cases die van toepassing zijn op startende ondernemingen, kleine en middelgrote bedrijven en ontwikkelingsscenario’s voor ondernemingen.
Deze training laat jou kennismaken met AWS-diensten en veelgebruikte oplossingen. Daarnaast biedt deze training jou de fundamentele kennis om vaardiger te worden in het identificeren van AWS-diensten.
In deze training leer je hoe jij de AWS SDK gebruikt om veilige en schaalbare cloudapplicaties te ontwikkelen met behulp van meerdere AWS-diensten zoals: Amazon DynamoDB, Amazon Simple Storage Service en AWS Lambda.
AWS Shield Advanced is een aanvullende AWS-dienst voor bescherming tegen DDoS-aanvallen. De dienst biedt uitgebreidere detectie, mitigatie en ondersteuning dan de standaardbescherming binnen AWS.
Wat is de AWS WAF Anti-DDoS Managed Rule Group?
Dit is een beheerde AWS WAF-regelgroep die verdacht verkeer tijdens Layer 7-DDoS-aanvallen kan herkennen en beperken. De officiële naam binnen AWS WAF is AWSManagedRulesAntiDDoSRuleSet.
Wordt iedere Shield Advanced-omgeving automatisch gemigreerd?
Nee. Alleen web ACL’s die aan de voorwaarden van AWS voldoen worden automatisch meegenomen. Gemengde configuraties kunnen handmatig moeten worden gemigreerd.
Wanneer stopt de oude automatische DDoS-bescherming?
AWS noemt 29 januari 2027 als datum waarop de oude application-layer automatic mitigation stopt. Omgevingen die hiervan afhankelijk zijn moeten vóór die tijd zijn gemigreerd.
Moet je na een automatische migratie nog iets controleren?
Ja. Controleer de nieuwe regelgroep, ingestelde acties, CloudWatch-monitoring en eventuele Infrastructure as Code-configuraties. Zo voorkom je dat oude configuratie later opnieuw wordt uitgerold.
Voor wie is Cloud Operations on AWS geschikt?
De training past bij systeembeheerders, DevOps-professionals en andere IT’ers die AWS-omgevingen operationeel beheren. Je leert onder andere werken met netwerken, beveiliging, CloudWatch, CloudTrail en geautomatiseerde deployments.
Benieuwd wat een incompany training voor jouw organisatie kan betekenen? Vul het formulier in en wij nemen snel contact met je op om jullie wensen te bespreken. Samen kijken we naar de mogelijkheden voor een training op maat, afgestemd op jullie team, locatie en planning.
