ひとことで
- AWS WAF：レイヤー 7 の HTTP(S) リクエストを検査する。
- AWS Shield：DoS / DDoS を緩和する。
- Security Group：リソースまたは ENI へのネットワーク接続を制御する。
主な違い
| 観点 | AWS WAF | AWS Shield | Security Group |
|---|---|---|---|
| 保護対象 | Web アプリケーション | 公開アプリケーションと AWS エッジ入口 | EC2、ENI、ALB などのリソース |
| 注目する内容 | Header、URI、IP、SQL インジェクション、XSS | トラフィック洪水と DDoS | プロトコル、ポート、送信元、宛先 |
| レイヤー | アプリケーション層 | ネットワーク・エッジ DDoS 防御 | リソース単位のステートフル制御 |
| 主な連携 | CloudFront、ALB、API Gateway | CloudFront、Route 53、ELB | VPC 内リソース |
選択の近道
Web 攻撃ルールは WAF、DoS / DDoS は Shield、プロトコル・ポート・送信元の制御は Security Group。