Anti-DDoS:Política de protección IP

Paso 1: Crear la información básica

1. Vaya a la página Mitigation Settings de la consola de Traffic Security.

2. Haga clic en Create Policy. En el cuadro de diálogo que aparece, introduzca un Policy Name y luego haga clic en OK.

3. Una vez creada la política, haga clic en OK en el cuadro de diálogo The policy is created. para ir a la página Create Rule.

   Nota

   También puede buscar la política recién creada en la página de lista de políticas y hacer clic en Modify Mitigation Policy para ir al panel de configuración de reglas.

Paso 2: Configurar las reglas de mitigación

En la página Create Rule, configure a continuación las reglas de mitigación.

Intelligent Protection

El motor inteligente de análisis de big data aprende la línea base del tráfico empresarial y protege de forma adaptativa contra ataques DDoS en las capas de red y de transporte.

• Escenario aplicable: siempre efectiva para activos en la nube estándar y mejorados.

• Efecto de protección: con base en datos históricos de tráfico y algoritmos de experiencia experta, los niveles de protección son los siguientes:

  Importante

  Después de crear una plantilla de política, esta función se habilita de forma predeterminada en el nivel Normal. La protección óptima requiere aproximadamente 3 días de entrenamiento con el tráfico empresarial.

  • Loose: bloquea las IP con patrones de ataque evidentes. Algunos ataques podrían pasar, pero los falsos positivos son bajos.

  • Normal: bloquea tanto las IP evidentemente maliciosas como las sospechosas. Equilibra la protección y los falsos positivos.

  • Strict: ofrece la máxima defensa, pero con una tasa más alta de falsos positivos.

• Método de configuración:

  1. En el panel de configuración de reglas, busque la sección Intelligent Protection.

  2. En la sección Level, seleccione un nivel de protección: Loose, Normal o Strict.

ICMP Blocking

Descarta el tráfico ICMP durante la depuración para filtrar ataques ICMP y reducir el riesgo de sondeo del servidor.

• Escenario aplicable: efectiva durante ataques para activos en la nube estándar. Siempre efectiva para activos en la nube mejorados.

• Efecto de protección:

  • Cuando el bloqueo ICMP está habilitado, los comandos ping no reciben respuesta.

    Aviso

    Deshabilite el bloqueo ICMP antes de ejecutar diagnósticos de red. De lo contrario, el comando ping no funcionará.

  • El bloqueo ICMP también se aplica a las IP incluidas en la lista blanca. El tráfico ICMP proveniente de dichas IP se descarta.

• Método de configuración:

  1. En el panel de configuración de reglas, busque la sección ICMP Blocking.

  2. En la sección Status, active o desactive el interruptor. Habilite esta regla si su servicio no utiliza ICMP.

Blacklist and Whitelist

• Escenario aplicable: efectiva durante ataques para activos en la nube estándar. Siempre efectiva para activos en la nube mejorados.

• Efecto de protección: configura reglas para descartar o permitir directamente el tráfico de direcciones IP de origen específicas.

  Importante

  Si el tráfico permitido por la lista blanca es demasiado alto, dicho tráfico podría verse afectado por la política predeterminada de limitación de velocidad por IP de destino de Anti-DDoS Native. Esto ocurre debido a las especificaciones de los activos en la nube y a las garantías de la plataforma.

• Método de configuración:

  1. En el panel de configuración de reglas, busque la sección Blacklist and Whitelist y haga clic en Settings.

  2. Seleccione Blacklist o Whitelist y complete la configuración de la siguiente manera.

     Blacklist

     1. Establecer el periodo de tiempo de espera (solo para Blacklist): debe establecer un periodo de tiempo de espera al agregar una lista negra. Esta configuración se aplica a todas las IP de la lista negra.

        1. En la pestaña Blacklist, haga clic en Validity Period Setting.

        2. En la sección Validity Period Setting del cuadro de diálogo, establezca el periodo de tiempo de espera según sus necesidades empresariales. Puede seleccionar Custom (de 5 a 43,200 minutos), Permanent, 30 minutos u otros periodos de tiempo.

     2. Agregar direcciones IP:

        1. Haga clic en Add. Aparecerá el cuadro de diálogo de configuración Blacklist Configuration.

        2. En el cuadro de diálogo de configuración, introduzca las direcciones IP de la lista negra. Separe varias direcciones con espacios o saltos de línea.

           Nota

           Puede agregar manualmente hasta 2,000 direcciones IP a la lista negra.

     Whitelist

     1. Haga clic en Add. Aparecerá el cuadro de diálogo de configuración Whitelist Configuration.

     2. En el cuadro de diálogo de configuración, introduzca las direcciones IP de la lista blanca. Separe varias direcciones con espacios o saltos de línea.

        Nota

        Puede agregar manualmente hasta 2,000 direcciones IP a la lista blanca.

Location Blacklist

Bloquea solicitudes de acceso según regiones geográficas.

• Escenario aplicable: efectiva durante ataques para activos en la nube estándar. Siempre efectiva para activos en la nube mejorados.

• Efecto de protección: el tráfico proveniente de las regiones bloqueadas hacia la IP de destino se descarta. Permite bloquear por región o por país.

• Método de configuración:

  1. En el panel de configuración de reglas, busque la sección Location Blacklist.

  2. En la lista de selección de regiones, seleccione las regiones o países que desea bloquear y luego haga clic en OK.

     Nota

     Bloquee todas las regiones desde las cuales no reciba tráfico empresarial legítimo.

Port Blocking

Configura reglas de filtrado de puertos de origen o destino para los protocolos UDP o TCP.

• Escenario aplicable: efectiva durante ataques para activos en la nube estándar. Siempre efectiva para activos en la nube mejorados.

• Efecto de protección: descarta el tráfico proveniente de puertos de protocolo específicos. Úselo para filtrar ataques de reflexión UDP.

• Recomendaciones de configuración:

  • Si sus activos solo utilizan tráfico TCP, bloquee todos los puertos de origen UDP.

    Nota

    Ajuste la política si posteriormente agrega servicios UDP.

  • Si sus activos utilizan tráfico UDP, bloquee los puertos de origen comunes de reflexión UDP: 1-52, 54-161, 389, 1900 y 11211.

• Método de configuración:

  1. En el panel de configuración de reglas, haga clic en Settings dentro de la sección Port Blocking.

  2. En la página Configure Source Port Blocking, haga clic en Add Port.

  3. En el cuadro de diálogo Add Port, complete la configuración de la siguiente manera y haga clic en OK para guardar la regla.

     Nota

     Admite hasta 8 reglas.

     • Protocol: seleccione el tipo de protocolo: TCP o UDP.

     • Source Port Range, Destination Port Range: establezca el rango de puertos de origen y el rango de puertos de destino.

     • Action: solo se admite Discard.

Source Rate Limiting

Limita la velocidad de las direcciones IP de origen cuya frecuencia de acceso supera el umbral.

• Escenario aplicable: solo compatible con activos en la nube mejorados. Siempre efectiva.

• Efecto de protección: las IP de origen que superan el umbral se agregan a la lista negra y se descarta todo su tráfico.

• Método de configuración:

  1. En el panel de configuración de reglas, haga clic en Settings dentro de la sección Source Rate Limiting.

  2. En el panel Configure Source Rate Limiting, active el interruptor de la dimensión de limitación de velocidad (Source PPS, Source Bandwidth, PPS of Source SYN Packets o Bandwidth of Source SYN Packets) e introduzca el umbral de límite de velocidad.

  3. (Opcional) Habilite la función de agregar automáticamente a la lista negra: seleccione If a source IP address triggers rate limiting five times within 60 seconds, the IP address is added to the blacklist.. Las IP que superen el límite de velocidad 5 veces en 60 segundos se agregarán a la lista negra.

Reflection Attack Filtering

• Escenario aplicable: solo compatible con activos en la nube mejorados. Siempre efectiva.

• Efecto de protección: se aplica únicamente al tráfico UDP. Descarta el tráfico proveniente de puertos de origen de reflexión UDP específicos.

• Método de configuración:

  1. En el panel de configuración de reglas, haga clic en Settings dentro de la sección Reflection Attack Filtering.

  2. En el panel Configure Filtering Policies for UDP Reflection Attacks, seleccione una estrategia de filtrado. Se admiten las dos estrategias siguientes:

     • One-click Filtering Policy: muestra una lista de puertos comunes de ataques de reflexión UDP. Bloquee todos los puertos que su servicio no utilice.

     • Custom Filtering Policy: personalice los puertos de origen de reflexión (hasta 20). Los puertos no pueden duplicar los de One-click Filtering Policy.

Fingerprint

• Escenario aplicable: efectiva durante ataques para activos en la nube estándar. Siempre efectiva para activos en la nube mejorados.

• Efecto de protección: los paquetes de ataque falsificados suelen compartir los mismos campos de características, como una cadena específica o un contenido de paquete idéntico. El filtrado por huella digital identifica estos paquetes al comparar los campos de encabezado y el contenido del cuerpo de datos (payload). Luego filtra, permite o limita la velocidad del tráfico según el resultado de la comparación. Una sola regla de huella digital puede combinar varias condiciones de coincidencia y realizar operaciones numéricas en campos como puertos, longitud de paquete, direcciones IP, indicadores TCP y payload antes de compararlos.

  Nota

  Todas las reglas de huella digital se aplican únicamente a paquetes TCP y UDP.

• Método de configuración:

  1. En el panel de configuración de reglas, haga clic en Settings dentro de la sección Fingerprint.

  2. En el panel Configure Fingerprint Rules, haga clic en Add Rule.

     Una sola política de protección admite un máximo de 8 reglas de huella digital.

  3. En el panel Add Fingerprint Rule, seleccione un modo de regla.

     • Standard Mode: seleccione campos, operaciones numéricas y comparaciones en un formulario, y combine varias condiciones con AND u OR. Adecuado para características comunes, sin necesidad de recordar sintaxis de expresiones.

     • Expert Mode: escriba directamente la expresión de características del paquete. Admite valores de desplazamiento de bytes, operaciones aritméticas y bit a bit, así como anidamiento. Recomendado para escenarios con características complejas.

     Importante

     Las reglas creadas en ambos modos son independientes entre sí y coexisten en la misma lista. Para mantener la expresión completa, no es posible cambiar el modo una vez creada la regla. Si necesita usar un modo distinto, elimine la regla y vuelva a crearla.

  4. Si selecciona Standard Mode, configure Rule Conditions de la siguiente manera.

     • 1. Select Field: seleccione el campo del paquete que desea comparar. Para conocer los campos compatibles y sus valores válidos, consulte Campos compatibles y valores válidos en este tema.

     • 2. Numeric Operations: opcional. Realice primero una operación sobre el valor del campo y luego compare el resultado. Se admiten los siguientes operadores: & (AND bit a bit), >> (desplazamiento a la derecha), + y -. El operando puede ser un valor decimal o hexadecimal 0x. Los campos de dirección y los campos de versión no admiten operaciones numéricas.

     • 3. Compare and Match: seleccione un operador de comparación e introduzca un valor. Se admiten los siguientes operadores: ==, !=, >, <, >=, <= e in. El operador in realiza una coincidencia de rango con el formato in [a, b], donde ambos extremos deben ser valores decimales y a no debe ser mayor que b.

     Haga clic en AND u OR para agregar más condiciones. Una sola regla de huella digital admite un máximo de 10 Rule Conditions.

  5. Si selecciona Expert Mode, introduzca una expresión en el campo Packet Feature Expression.

     • La expresión utiliza la sintaxis de filtro de visualización de Wireshark, por ejemplo tcp.srcport >= 80 and tcp.srcport <= 443 and ip.len > 1000. Las sugerencias de autocompletado aparecen mientras escribe el nombre de un campo. También puede expandir Syntax Reference and Examples y hacer clic en un campo de Fields and Values para insertarlo.

     • Todos los campos de la expresión deben ser campos compatibles, y la expresión debe contener como mínimo un campo.

     • No se admiten desplazamientos escritos directamente después del nombre de un protocolo, como udp[4:2] o ip[8]. Utilice la forma de campo, como udp.payload[4:2].

     • Una sola regla de huella digital admite un máximo de 20 subcondiciones.

  6. Configure Action, que es la acción que se ejecutará sobre el tráfico tras una coincidencia de características. Valores válidos: Pass, Discard, Rate Limit by Packet, Rate Limit by Flow y Observe. Si selecciona Rate Limit by Packet o Rate Limit by Flow, también debe establecer Bandwidth. Valores válidos: de 1 a 100000.

  7. De manera opcional, introduzca Remarks de hasta 256 caracteres y luego haga clic en OK.

  Campos compatibles y valores válidos

  Standard Mode y Expert Mode utilizan la misma lista de campos. En la tabla siguiente, All hace referencia a ==, !=, >, <, >=, <= e in.

  Categoría de campo	Campo	Operadores de comparación compatibles	Valores válidos y descripción
  Puerto	tcp.srcport, tcp.dstport, udp.srcport, udp.dstport	All	De 0 a 65535. Se admiten valores decimales o hexadecimales 0x.
  Longitud del paquete IP	ip.len	All	De 1 a 1500. Unidad: bytes.
  Cuerpo de datos	tcp.payload, udp.payload	==, !=, >, <, >= y <=. No se admite el operador in.	Se requiere el rango [offset:bytes], donde offset va de 0 a 1500 y bytes solo puede ser 1, 2 o 4. El valor de comparación debe ser un valor hexadecimal 0x de no más de 4 bytes, por ejemplo tcp.payload[0:4] == 0x12345678.
  Dirección IPv4	ip.src, ip.dst, ip.addr	Solo ==	Notación decimal con puntos, donde cada octeto va de 0 a 255. No se permiten ceros a la izquierda. No se admiten operaciones numéricas.
  Dirección IPv6	ipv6.src, ipv6.dst	Solo ==	Se admiten tanto el formato completo como el formato comprimido ::. No se admiten el formato asignado a IPv4, como ::ffff:1.2.3.4, ni el formato de ID de zona, como fe80::1%eth0. No se admiten operaciones numéricas.
  Indicador TCP	tcp.flags.fin, tcp.flags.syn, tcp.flags.rst, tcp.flags.psh, tcp.flags.ack, tcp.flags.urg, tcp.flags.ecn, tcp.flags.cwr	Solo ==	Solo se permite el valor decimal 0 o 1. No se permiten valores hexadecimales como 0x1 ni ceros a la izquierda como 01.
  Número de secuencia TCP	tcp.seq, tcp.ack	All	De 0 a 4294967295.
  Valor de 16 bits	tcp.window_size_value, tcp.checksum, tcp.urgent_pointer, udp.checksum, ip.id, ip.flags	All	De 0 a 65535. ip.flags es una palabra de 16 bits. Para más detalles, consulte las notas de sintaxis más abajo.
  Longitud del paquete UDP	udp.length	All	De 8 a 65535. El encabezado UDP tiene un tamaño fijo de 8 bytes, por lo que el valor mínimo es 8.
  Número de protocolo de capa superior	ip.proto	All	De 0 a 255. Valores comunes: 6 para TCP y 17 para UDP.
  Longitud del encabezado	ip.hdr_len, tcp.hdr_len	All	De 20 a 60. Unidad: bytes. Para una comparación exacta con ==, el valor debe ser múltiplo de 4, es decir, 20, 24, 28, etc., hasta 60.
  Versión del protocolo	ip.version, ipv6.version	Solo ==	ip.version solo puede ser 4, y ipv6.version solo puede ser 6. No se admiten operaciones numéricas.

  Notas de sintaxis

  • Solo se pueden usar los operadores en minúsculas and y or para unir condiciones, y deben estar rodeados por espacios. (a)and(b) y las mayúsculas AND y OR provocan un error de sintaxis.

  • Solo se permite el prefijo hexadecimal 0x en minúsculas. 0X1F se rechaza.

  • El separador en un rango de payload es dos puntos, como en [offset:bytes], no una coma.

  • ip.flags se procesa como una palabra de 16 bits, compuesta por los 3 bits de indicadores IP y los 13 bits de desplazamiento de fragmento. Para coincidir con un indicador específico, debe usar el valor literal completo: escriba ip.flags == 0x4000 para coincidir con el indicador DF establecido, e ip.flags == 0x2000 para coincidir con el indicador MF establecido. ip.flags == 2 coincide con un desplazamiento de fragmento de 2, no con el indicador MF.

  • Cuando se configura una operación numérica, el valor de comparación se aplica al resultado de la operación en lugar del valor original del campo, por lo que ya no se validan los valores válidos de la tabla anterior.

  • La longitud total de una sola regla de huella digital no puede superar los 3000 caracteres.

SIP Protocol Protection

Diseñada para servicios de comunicación de voz/VoIP, SIP Protocol Protection permite el paso de paquetes fragmentados del protocolo SIP. También admite el filtrado de paquetes que no pertenecen al protocolo SIP, el sondeo de autenticidad de clientes SIP y la limitación de velocidad del tráfico SIP bajo demanda.

• Escenario aplicable: efectiva durante ataques para activos en la nube estándar. Siempre efectiva para activos en la nube mejorados.

• Efecto de protección:

  • Permite el paso de paquetes IP fragmentados del protocolo SIP, lo que evita que los servicios de voz VoIP se interrumpan por un bloqueo falso de paquetes fragmentados.

  • (Opcional) Non-SIP Protocol Blocking: descarta directamente los paquetes que no pertenecen al protocolo SIP dentro del rango de puertos SIP configurado.

  • (Opcional) SIP Client Probing: sondea de forma activa a los clientes que usan el protocolo SIP y descarta el tráfico posterior de aquellos que no responden o que responden de manera anómala.

  • (Opcional) SIP Source Rate Limiting: impone un límite máximo de velocidad a los paquetes SIP provenientes de una sola dirección IP de origen; el tráfico que exceda el límite se descarta.

• Método de configuración:

  1. En el panel de configuración de reglas, busque la sección SIP Protocol Protection y haga clic en la tarjeta.

  2. En el panel SIP Protocol Protection que se despliega desde la derecha, active el interruptor Enable SIP Protocol Protection.

  3. Configure los parámetros siguientes y luego haga clic en OK.

     • SIP Port Range: introduzca el puerto SIP que utiliza su servicio. El valor predeterminado es 5060. Admite puertos individuales, varios puertos (separados por comas) o rangos continuos (separados por guiones), así como cualquier combinación de estos.

     • Defense mode: seleccione un nivel de protección. El valor predeterminado es Normal. Cuando selecciona Loose, Normal o Strict, el sistema completa automáticamente los parámetros según la plantilla preestablecida y los establece como de solo lectura. Cuando selecciona Custom, los parámetros siguientes se pueden editar manualmente.

       Modo de defensa	Capacidades de mitigación habilitadas	Umbral de activación	Escenarios
       Loose	Non-SIP Protocol Blocking	2,000 PPS	Maximiza la disponibilidad del servicio. Adecuado para servicios de voz muy sensibles a los falsos positivos.
       Normal (predeterminado)	Non-SIP Protocol Blocking, SIP Client Probing	1,000 PPS	Adecuado para la mayoría de los servicios VoIP.
       Strict	Non-SIP Protocol Blocking, SIP Client Probing, SIP Source Rate Limiting	500 PPS + 10 Mbps; límite de velocidad por origen: 1,000 PPS	Recomendado para escenarios bajo ataques sostenidos de SIP Flood.
       Custom	Todos los parámetros se pueden configurar manualmente	Personalizado	Recomendado para usuarios con experiencia en protección SIP.

     • Activation Threshold (editable solo en modo Custom): el algoritmo de protección se activa únicamente cuando el tráfico SIP supera este umbral.

     • Non-SIP Protocol Blocking (editable solo en modo Custom): cuando se habilita, identifica y descarta directamente los paquetes que no pertenecen al protocolo SIP dentro del rango de puertos SIP configurado. Resulta especialmente eficaz cuando los puertos se usan indebidamente para ataques de reflexión o payloads ilegales.

     • SIP Client Probing (editable solo en modo Custom): cuando se habilita, sondea de forma activa a los clientes que usan el protocolo SIP. El tráfico posterior de los clientes que no responden o que responden de manera anómala se descarta, lo que permite identificar eficazmente orígenes falsificados o bots de reflexión.

     • SIP Source Rate Limiting (editable solo en modo Custom): cuando se habilita, impone un límite máximo de velocidad a los paquetes SIP provenientes de una sola dirección IP de origen. El tráfico que exceda el límite se descarta. Debe especificar un valor de límite de velocidad por origen. Recomendado cuando se ha confirmado un ataque de SIP Flood de gran volumen.

Lista blanca de direcciones de retorno al origen de Anti-DDoS Proxy

Agrega las direcciones IP de retorno al origen de Anti-DDoS Proxy a la lista blanca de control de acceso. Solo es compatible con activos en la nube mejorados. Al proteger activos en la nube mejorados, el tráfico se reenvía de vuelta al origen a través del centro de depuración de Anti-DDoS Proxy. Habilite esta opción para evitar el bloqueo accidental de tráfico empresarial legítimo.

Método de configuración:

1. En el panel de configuración de reglas, busque la sección Add Back-to-origin CIDR Blocks of Anti-DDoS Proxy to Whitelist.

2. Active o desactive el interruptor. Muy recomendable para activos en la nube mejorados.

Paso 3: Seleccionar los objetos protegidos

Después de configurar las reglas de mitigación, haga clic en Next para ir a la página de selección de objetos protegidos.

1. En la sección Objects to Select de la página Protected Assets, seleccione los objetos protegidos (direcciones IP públicas) a los que desea aplicar esta política.

2. Haga clic en Add. Una vez creada la política de mitigación, haga clic en Back. En la página Mitigation Settings, puede consultar la política recién creada.