AWS Shieldとは
AWS Shield（シールド）とは、ウェブアプリケーションやインフラストラクチャを「DDoS攻撃（Distributed Denial of Service：分散型サービス拒否攻撃）」から保護するためのマネージド型の脅威保護サービスです。DDoS攻撃とは、世界中の無数のコンピューターから特定のサーバーやネットワークに対して一斉に大量の偽の通信（トラフィック）を送りつけ、パンクさせて正常なサービスを提供できなくするサイバー攻撃のことです。AWS Shieldは、このような悪意のある膨大なトラフィックをネットワークの入り口で検知し、自動的に緩和（吸収・遮断）することで、アプリケーションの可用性（いつでも使える状態）を維持します。AWSを利用するすべてのユーザーに無料で自動適用される「AWS Shield Standard」と、より高度な保護とサポートを提供する有償の「AWS Shield Advanced」の2つの階層（ティア）が存在します。
具体例
AWS Shieldの役割を、人気アーティストのコンサート会場の「入場ゲート」に例えてみましょう。
ある日、嫌がらせを目的とした悪意のある集団が、コンサートを中止に追い込むために、偽のチケットを持った大量のエキストラを雇って入り口に押し寄せさせました。これがDDoS攻撃です。大量のエキストラ（偽の通信）のせいで入り口が大パニックになり、本当のファン（正規のユーザー）が会場に入れなくなってしまいます。
ここで「AWS Shield」という優秀な警備システムが機能します。このシステムは、押し寄せる群衆の動きやチケットの真贋を瞬時に見極め、偽のエキストラだけを別の専用レーンに誘導して隔離し、本当のファンだけをスムーズに会場内へ案内します。これにより、どれだけ大量の偽の人が押し寄せても、コンサート（Webサービス）は通常通り安全に開催し続けることができます。
もう少し詳しく
無料の「AWS Shield Standard」は、AWSをご利用のすべてのお客様に対して、設定不要で自動的に有効化されています。これは、Amazon CloudFront（CDN）やAmazon Route 53（DNS）などのグローバルインフラストラクチャの入り口で動作し、SYNフラッド攻撃やUDPリフレクション攻撃といった、よくある一般的なネットワークレイヤー（OSI参照モデルのレイヤー3およびレイヤー4）のDDoS攻撃を自動的に検知・緩和してくれます。ユーザーは追加料金を払うことなく、AWSの巨大なネットワーク帯域の恩恵を受けて基本的な防御を得ることができます。
一方、大企業やミッションクリティカルなシステム向けに提供される有償の「AWS Shield Advanced」では、さらに高度な保護が提供されます。Standardの機能に加えて、より大規模で高度なDDoS攻撃からの保護、アプリケーションレイヤー（レイヤー7）への攻撃に対するAWS WAFとの自動連係防御が含まれます。また、最大のメリットとして「DDoS攻撃によって発生した不正なトラフィック（CloudFrontの通信量やEC2のスケールアウト費用など）によるAWS利用料金の高騰分を補填してもらえる（コスト保護）」という強力な保証が付帯します。さらに、攻撃を受けた際にAWSの専門のセキュリティ対策チーム（SRT：Shield Response Team）に直接支援を要請できるため、高度なセキュリティ体制を構築することが可能です。
試験でのポイント
AWS認定クラウドプラクティショナー（CLF-C02）試験において、AWS Shieldは「DDoS攻撃からの保護」というキーワードと1対1で結びつけて覚えておく必要があります。
問題文に「DDoS攻撃（分散型サービス拒否攻撃）」や「可用性を脅かす大規模なトラフィック攻撃からの保護」といった単語が出てきたら、正解は高確率でAWS Shieldです。
また、「Standard」と「Advanced」の違いについても問われることがあります。「すべてのAWSユーザーに無料で自動的に提供されるDDoS保護機能はどれか？」という問いには「AWS Shield Standard」を選びます。逆に、「DDoS攻撃による意図しないAWS料金の急増に対するコスト保護（クレジット返金）」や「専門のDDoS対応チーム（SRT）によるサポート」が必要な場合は「AWS Shield Advanced」が必要である、という区別をつけておきましょう。
関連する用語
関連用語として、アプリケーション層（レイヤー7）の攻撃を防御する「AWS WAF」、DDoS攻撃を分散して吸収する働きも持つCDNサービス「Amazon CloudFront」、名前解決サービス「Amazon Route 53」があります。