「DDoS対策はWAFを入れているから大丈夫」――そう考えているAWS利用者の方にこそ、読んでいただきたい話があります。
DDoS攻撃の被害は、実は二つあります。一つはサービス停止。もう一つが、攻撃を防ぎきった場合でも発生する「請求額の急増」です。あまり知られていませんが、AWS WAFはブロックしたリクエストにも課金されます。「サイトは無事だったのに、翌月の請求書を見て青ざめた」――そんな事態が、実際に起こり得るのです。
本記事のポイント
- ブロックした攻撃リクエストにも課金される
- 無料のShield Standardが守るのはL3/L4まで
- CloudFront定額プランなら、攻撃を受けても請求はほぼ定額
本コラムでは、防御に成功しても料金が跳ね上がる仕組みを解説します。あわせて、根本対策として注目されるCloudFront定額プランも紹介していきましょう。
1. なぜ「防いだのに課金される」のか
サービスは止められなくても、コストで事業にダメージを与えられてしまう。DDoS攻撃には、そんなクラウド時代特有のリスクがあります（この現象は「EDoS＝経済的持続性への攻撃」と呼ばれることもあります）。
なぜそんなことが起きるのでしょうか。ポイントは、AWSの従量課金が「正常なリクエストかどうか」を区別しないことです。攻撃トラフィックであっても、処理した分だけ課金対象になります。
2. 攻撃時に跳ね上がる3つの課金項目
DDoS攻撃を受けたとき、特に増加しやすいのは次の3項目です。
(1) データ転送料
攻撃リクエストへの応答（ブロックページの返却を含む）にも転送量が発生します。リクエスト数が通常の数百倍～数千倍になれば、転送関連の課金も比例してふくらみます。
(2) AWS WAFの検査料
見落とされがちなのがここです。AWS WAFの課金対象は「検査したリクエスト数」。つまり、ブロックしたリクエストにも料金が発生します。防御が完璧に機能するほど、増えていくWAFの検査課金。皮肉ですが、これが従量課金の構造です。
(3) ログ取り込み料
攻撃時はWAFログ・アクセスログが爆発的に増加します。CloudWatch Logsなどへのログ取り込みは従量課金のため、ここも攻撃規模に連動してふくらみます。
大規模な攻撃では、これら3項目の合算で請求額が通常月の数千～数万%に達するケースも想定されます。たとえば月10万円のAWS請求が、攻撃を受けた月だけ数百万円になる――それがこのリスクの現実的なスケール感です。
3. 「Shield Standardがあるから無料で守られている」の誤解
AWS利用者からよく聞くのが「AWS Shield Standardが無料で有効になっているから大丈夫」という声です。AWS保守運用の現場でも、攻撃を受けたあとの請求に関するご相談は年々増えています。
Shield Standardが自動防御するのは、主にネットワーク層・トランスポート層（L3/L4）の攻撃です。では、近年主流の攻撃はどこを狙うのか。大量のHTTPリクエストを送りつける、アプリケーション層（L7）です。L7攻撃への対処にはAWS WAFが必要になります。そしてWAFは、前述のとおり検査ごとの従量課金です。
つまり、CloudFrontとWAFを従量課金で使う現在の標準的な構成は、「防御はできるが、課金は止められない」構造になっています。
4. AWSのDDoS対策の全体像――4つの層と、それぞれのコスト
では、AWSでのDDoS対策はどう組み立てるのが正解なのでしょうか。基本は、一つのサービスに頼らず複数の層を重ねる「多層防御」です。ここでは4つの層を、セキュリティ面だけでなくコストの視点もあわせて整理します。
第1層：攻撃面の縮小（追加費用なし）
そもそも攻撃を受ける面積を減らすのが出発点です。不要なリソースを外部に公開しない。配信元サーバー（オリジン）はCloudFrontやELB（ロードバランサー）の背後に隠し、セキュリティグループで直接アクセスを遮断する。設定の見直しだけでできる、費用ゼロの対策です。
第2層：AWS Shield Standard（無料・自動）
すべてのAWS利用者に自動で適用される、L3/L4向けの防御です。SYNフラッドやUDPリフレクションといったネットワーク層の攻撃はここで緩和されます。ただし第3章で見たとおり、L7攻撃は守備範囲外です。
第3層：AWS WAF（L7防御・従量課金）
HTTPフラッドなどアプリケーション層の攻撃には、WAFで備えます。マネージドルールやレートベースルール（一定頻度を超えるIPを自動ブロック）が主な武器です。防御としては有効ですが、検査リクエスト数に応じた従量課金である点は、繰り返しお伝えしたとおりです。
第4層：AWS Shield Advanced（有料・高度防御）
より高度な防御が必要な組織向けの有料サービスです。L7までの検知拡張、24時間365日のシールド対応チーム（SRT）による支援に加えて、注目すべきはコスト保護。DDoS攻撃が原因でリソースがスケールして発生した課金分を、クレジットとして申請できます。保護対象リソースのWAF利用料も購読に含まれます。
つまりShield Advancedは「突発課金への保険」を含んだ最上位の選択肢です。ただし料金は月額3,000USD・1年契約が前提。年間で500万円規模の投資となるため、大企業やミッションクリティカルなサービスには合理的でも、中堅規模の組織にはハードルが高いのが実情です。
防御を固めるほど、コストの構造は複雑になっていく。「Shield Advancedほどの投資はできないが、突発課金のリスクは消したい」――この間を埋める現実解として登場したのが、次に紹介するCloudFront定額プランです。
5. 攻撃を受けても請求はほぼ定額――CloudFront定額プランとは
この構造的な課題への回答として、AWSは2025年11月にCloudFront定額プラン（flat-rate pricing plans）を発表しました。
CDN（CloudFront）に加えて、AWS WAF・DDoS防御・ボット対策・ログ取り込みなどが月額定額に含まれるプランです。Free／Pro／Business／Premiumの4つの料金帯（ティア）が提供されています。
従量課金との違いを、攻撃時に跳ね上がる3項目で比較すると次のとおりです。
| 課金項目 | 従来の従量課金 | 定額プラン |
|---|---|---|
| 攻撃時のデータ転送 | 攻撃規模に比例して課金 | プラン内 |
| WAF検査（ブロック分含む） | リクエスト数に比例して課金 | プラン内 |
| ログ取り込み | ログ量に比例して課金 | プラン内 |
攻撃を受けても、請求額はほぼ定額のまま。最大の価値は「セキュリティコストを予算化できる」ことです。突発コストのリスクが消えるため、予算超過リスクを問われる情シス部門にとっては、経営層への説明もしやすくなります。
6. 移行できる構成・できない構成――診断が必要な理由
定額プランは魅力的ですが、すべてのAWS環境がそのまま移行できるわけではありません。確認すべきポイントがあります。
- 現在のCloudFront・WAFの設定内容（カスタムルール、配信元サーバー＝オリジンの構成など）
- 月間のリクエスト数・転送量がプランの利用枠に収まるか
- 既存の運用（ログ分析基盤、監視体制）との整合性
これらをたしかめないまま移行すると、かえって運用が複雑になったり、適切なティアを選べなかったりします。第一歩は、いまの構成と利用量を洗い出し、移行可否とコスト比較を行うこと。ここが移行の成否を分けます。
よくある質問
Q1. DDoS攻撃を受けているかどうかは、どうすれば分かりますか？
CloudWatchでAWS Shieldのメトリクス（DDoSDetected）を監視し、検知時に通知するアラームを設定するのが基本です。あわせて、AWS Budgetsで請求額のアラートを設定しておくと、課金の急増そのものを早期に察知できます。「攻撃に気づいたのは請求書を見たとき」という事態を避けるためにも、この2つは最低限セットしておきましょう。
Q2. Shield AdvancedとCloudFront定額プラン、どちらを選ぶべきですか？
守るべきリソースの範囲と規模で決まります。CloudFront以外のリソース（ELBやEC2への直接攻撃など）も含めて高度な防御とSRT支援が必要なら、Shield Advancedが候補です。Webサイト・Webアプリの配信保護と課金の予測可能性が主目的なら、定額プランの方が費用対効果に優れるケースが多いでしょう。
Q3. 攻撃で急増してしまった請求は、返金してもらえますか？
原則として、従量課金で発生した費用は利用者負担です。Shield Advanced加入者はコスト保護によるクレジット申請ができますが、未加入の場合の救済は保証されていません。だからこそ、「急増したら請求される」前提で事前に構造を変えておくこと――定額化や監視の整備が重要になります。
まとめ
- DDoS攻撃は「防いでも課金される」――データ転送・WAF検査・ログ取り込みの3項目が跳ね上がる
- Shield Standard（無料）だけではL7攻撃の課金リスクはカバーできない
- 対策の基本は多層防御。ただしShield Advanced（月額3,000USD）は中堅規模にはハードルが高い
- CloudFront定額プランなら、攻撃時も請求はほぼ定額。セキュリティコストを予算化できる
- ただし移行可否は現在の構成・利用量次第。まずは診断を
まずは現状診断から。費用はかかりません。
ディーネットでは、AWSアドバンストティア認定パートナーとして、CloudFront定額プランへの移行可否を無料で診断するサービスを提供しています。現状設定の把握からリスク評価、移行計画の実装支援まで対応します。「うちの構成で定額プランが使えるのか知りたい」という方は、お気軽にご相談ください。