Anti-DDoS Pro: Global Mitigation Policy for a Web Service - Anti-DDoS

La función de directiva de mitigación global incluye reglas generales de mitigación acumuladas a partir de la experiencia en defensa y ataque de Anti-DDoS Proxy. Al habilitar esta función, se reducen los riesgos provocados por ataques a sus sitios web. Este tema describe cómo configurar la función de directiva de mitigación global.

Introducción a la función de directiva de mitigación global

Modos

La función de directiva de mitigación global admite los siguientes modos: Loose, Normal y Strict. La siguiente tabla describe estos modos. Después de configurar una regla de reenvío para un nombre de dominio, Anti-DDoS Proxy habilita automáticamente la función de directiva de mitigación global y utiliza el modo Normal para dicho dominio. Puede cambiar el modo según las necesidades de su negocio.

Modo	Efecto de mitigación	Escenario
Loose	Bloquea ataques conocidos específicos y permite las solicitudes normales.	Este modo es adecuado para sitios web grandes con alta capacidad de procesamiento. Si no tiene requisitos estrictos de limpieza de tráfico, se recomienda usar el modo Loose. Por ejemplo, puede utilizar este modo durante eventos promocionales a gran escala.
Normal (recomendado)	Bloquea ataques divulgados en Internet que no están registrados en el historial de tráfico de su sitio web. Este modo tiene un impacto bajo en su sitio.	Recomendado para escenarios donde el número de solicitudes no fluctúa significativamente, y los atributos del negocio y los orígenes de usuarios son estables.
Strict	Bloquea ataques de forma estricta. Las solicitudes normales también podrían bloquearse. Importante Para evitar impactos adversos en su sitio web al cambiar de modo, se recomienda contactar al soporte técnico de Alibaba Cloud antes de usar el modo Strict.	Diseñado para sitios web que no cuentan con capacidades de procesamiento suficientes. Utilice este modo si requiere capacidades de limpieza de tráfico más potentes para mejorar el rendimiento de la mitigación.

Reglas de mitigación

Anti-DDoS Proxy proporciona diversas reglas de mitigación clasificadas en distintos tipos. La siguiente tabla describe estos tipos. Además, cada modo de la función de directiva de mitigación global admite un número específico de reglas. Si los informes de análisis de ataques o los registros revelan que una regla genera un falso positivo y afecta negativamente sus cargas de trabajo, no es necesario cambiar el modo existente; basta con deshabilitar la regla o modificar su acción.

Tipo	Descripción
Invalid Request	El encabezado HTTP de la solicitud no es válido debido a errores de codificación.
Simulated Browser Request	La solicitud es una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador. En la mayoría de los casos, esta solicitud activa un desafío de JavaScript.
Simulated Crawler Request	La solicitud es una petición HTTP simulada diseñada para imitar una solicitud iniciada por un rastreador.
Attack Tool Request	La solicitud HTTP se origina desde una herramienta de ataque común.
High-frequency Attack Request	Las solicitudes HTTP son enviadas por atacantes a una frecuencia elevada.
Attack Request	La solicitud presenta características de ataque acumuladas a partir de la experiencia en defensa y ataque de Alibaba Cloud.

Reglas de mitigación específicas por modo

En la siguiente tabla, una marca (√) indica que un modo admite una regla, mientras que una cruz (×) indica que no la admite.

Las acciones de las reglas de mitigación varían. Puede modificar dichas acciones según las necesidades de su negocio.

Monitor: registra información sobre la solicitud en los registros y permite el paso de la petición.
JavaScript Challenge: realiza una verificación CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) para validar la dirección IP de origen de la solicitud.
Block: bloquea la solicitud.

Tipo de regla	ID de regla	Descripción	Acción predeterminada	Loose	Normal	Strict
Invalid Request	global_01	El encabezado Accept de la solicitud HTTP no es válido.#1	Block	✓	✓	✓
Invalid Request	global_02	El encabezado Accept-Language de la solicitud HTTP no es válido.#1	Block	✓	✓	✓
Invalid Request	global_0_1	El encabezado Accept-Encoding de la solicitud HTTP no es válido.#1	Block	×	✓	✓
Invalid Request	global_15	El encabezado Accept de la solicitud HTTP no es válido.#2	Block	✓	✓	✓
Invalid Request	global_ge_05f8a760096d29cee462a63ab418e5c3_B_t	El encabezado Accept de la solicitud HTTP no es válido.#3	Block	✓	✓	✓
Invalid Request	global_ge_0_B_t	El encabezado Accept-Encoding de la solicitud HTTP no es válido.#2	Block	×	✓	✓
Invalid Request	global_ge_0d4dbd8080c85462ea5395d1d8251da8_B_t	El encabezado Referer de la solicitud HTTP no es válido.#1	Block	×	✓	✓
Invalid Request	global_ge_0e2130d0b87abe84bd74735ec4586ab1_B_t	El encabezado Accept de la solicitud HTTP no es válido.#4	Block	✓	✓	✓
Invalid Request	global_ge_1_B_t	El encabezado Accept-Language de la solicitud HTTP no es válido.#2	Block	×	✓	✓
Invalid Request	global_ge_2cfc5256bf5be8892b9356d8db40d0e3_B_t	El encabezado Cache-Control de la solicitud HTTP no es válido.#1	Block	✓	✓	✓
Invalid Request	global_ge_aba03cde2fc06dd322ad0a1a46bc47d8_B_t	El encabezado Connection de la solicitud HTTP no es válido.#1	Block	✓	✓	✓
Invalid Request	global_online_03	El encabezado Referer de la solicitud HTTP no es válido.#2	Block	✓	✓	✓
Invalid Request	global_spv_3adcd517f14ef4295dbcb65f2b544621_B_t	El encabezado Accept-Language de la solicitud HTTP no es válido.#3	Block	×	✓	✓
Invalid Request	global_spv_a69fdbd25ac2da2984809fdc051e9d4e_B_t	El encabezado User-Agent de la solicitud HTTP no es válido.#1	Block	×	×	✓
Simulated Browser Request	global_03	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#1	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_2_3	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#2	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_2_4	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#3	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_r_1_C	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#4	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_r_2_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#5	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_00922977ecc39f015bdd94e54e3f08c8_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#6	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_10_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#7	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_1db36a86783775fb36ff65e9a9471293_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#8	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_4_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#9	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_5_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#10	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_6_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#11	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_7_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#12	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_8_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#13	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_9_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#14	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_a256dec6c80b7c953a9d5cf21b193e93_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere una verificación rigurosa basada en una combinación de encabezados de solicitud.#1	JavaScript Challenge	×	×	✓
Simulated Browser Request	global_th_e353aae960559269a5146aca41060c60_C_t	La solicitud podría ser una petición HTTP simulada diseñada para imitar una solicitud iniciada por un navegador, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#15	JavaScript Challenge	×	✓	×
Simulated Crawler Request	global_d_6587d6a0e3adb13d4949cdb59a3167c3_B_t	La solicitud es una petición HTTP simulada diseñada para imitar una solicitud iniciada por un rastreador de Google Chrome.#1	Block	×	×	✓
Simulated Crawler Request	global_d_97a08ec7a4a0d131194c4fd40802dd98_B_t	La solicitud es una petición HTTP simulada diseñada para imitar una solicitud iniciada por un rastreador de Baidu.#1	Block	×	×	✓
Simulated Crawler Request	global_d_d51505ef3de38efe92bff2163a3b4d38_B_t	La solicitud es una petición HTTP simulada diseñada para imitar una solicitud iniciada por un rastreador de Google Chrome.#2	Block	×	×	✓
Attack Tool Request	global_d_0ac87637e9fccf60e9afbe18ad6af1d9_C_t	La solicitud HTTP podría originarse desde una herramienta de ataque conocida, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#1	JavaScript Challenge	×	✓	×
Attack Tool Request	global_d_0d0fc1037e2239562d31473e11d40909_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de peticiones iniciadas por herramientas de ataque conocidas.#1	Block	×	✓	✓
Attack Tool Request	global_d_436c6492dbef6f8d43eec0c3caa86652_C_t	La solicitud HTTP podría originarse desde una herramienta de ataque conocida, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#2	JavaScript Challenge	×	✓	✓
Attack Tool Request	global_d_52d72f8b80d5877e10763d451cc05479_C_t	La solicitud HTTP podría originarse desde una herramienta de ataque conocida, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#3	JavaScript Challenge	×	✓	✓
Attack Tool Request	global_d_5e65a8ca4a9ea2339f24d93c7b2fa819_C_t	La solicitud HTTP podría originarse desde una herramienta de ataque conocida, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#4	JavaScript Challenge	×	✓	✓
Attack Tool Request	global_d_5fdc132caf63121890cb733ad4c2463e_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de peticiones iniciadas por herramientas de ataque conocidas.#2	Block	×	✓	✓
Attack Tool Request	global_d_658fef4f5d139461f7135b89f5d9dd6d_C_t	La solicitud HTTP podría originarse desde una herramienta de ataque conocida, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#5	JavaScript Challenge	×	✓	✓
Attack Tool Request	global_d_839574bd00cc6f9f2a256a599829db04_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de peticiones iniciadas por herramientas de ataque conocidas.#3	Block	×	✓	✓
Attack Tool Request	global_d_8917da6c5c8a6aba6ab9156cc9f89d35_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de peticiones iniciadas por herramientas de ataque conocidas.#4	Block	×	✓	✓
Attack Tool Request	global_d_adc8a089ad050bd9e2ed1aed2b991526_C_t	La solicitud HTTP podría originarse desde una herramienta de ataque conocida, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#6	JavaScript Challenge	×	✓	✓
Attack Tool Request	global_d_bec67b0fe8d26adb09f375c67e355a88_C_t	La solicitud HTTP podría originarse desde una herramienta de ataque conocida, lo cual requiere verificación basada en una combinación de encabezados de solicitud.#7	JavaScript Challenge	×	✓	×
Attack Tool Request	global_d_c660088d7e2385d949fbf594461b06ac_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de peticiones iniciadas por herramientas de ataque conocidas.#5	Block	×	✓	✓
Attack Tool Request	global_d_dc71e4b0d53ef00f0631b0db72e95fb7_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de peticiones iniciadas por herramientas de ataque conocidas.#6	Block	×	✓	✓
Attack Tool Request	global_d_fc1c525466aaf12d4580ad03763daaf4_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de peticiones iniciadas por herramientas de ataque conocidas.#7	Block	×	✓	✓
Attack Tool Request	global_spv_2bdf9b3b14f1277aaccc38ae2b2e8a23_B_t	El encabezado Referer de la solicitud HTTP presenta características de peticiones iniciadas por herramientas de ataque conocidas.#1	Block	×	✓	✓
Attack Tool Request	global_spv_507e041146fa3a0d8abc61b0bb0ba1bf_B_t	El encabezado Referer de la solicitud HTTP presenta características de peticiones iniciadas por herramientas de ataque conocidas.#2	Block	×	✓	✓
Attack Tool Request	global_spv_b980df6086a5b9bded374883531ceb9a_B_t	El encabezado Referer de la solicitud HTTP presenta características de peticiones iniciadas por herramientas de ataque conocidas.#3	Block	×	✓	✓
High-frequency Attack Request	global_cc_1321b42f0967324a4581f7df931b4b64_C_t	Se inician solicitudes HTTP de alta frecuencia para atacar una página principal.#1	JavaScript Challenge	×	×	✓
High-frequency Attack Request	global_cc_3ed2a1a3801ce62eee67a1804dc2682a_C_t	Se inician solicitudes de ataque HTTP de alta frecuencia mediante el recorrido de encabezados de solicitud.#1	JavaScript Challenge	×	×	✓
High-frequency Attack Request	global_cc_5d4f4eacd0d2e37f0a82ab247bcdcc50_C_t	Se inician solicitudes de ataque HTTP de alta frecuencia mediante el uso de encabezados User-Agent especiales.#1	JavaScript Challenge	×	✓	✓
High-frequency Attack Request	global_cc_958593f854099089cdec7638c11116f4_C_t	Se inician solicitudes de ataque HTTP de alta frecuencia mediante el recorrido de URI.#1	JavaScript Challenge	×	×	✓
High-frequency Attack Request	global_cc_c5d86db096688b00f8ad8cb4c3a3d363_C_t	Se inician solicitudes de ataque HTTP de alta frecuencia mediante el recorrido de encabezados de solicitud.#2	JavaScript Challenge	×	✓	✓
Attack Request	global_1_1	El encabezado Ping-To de la solicitud HTTP indica un origen malicioso.#1	Block	×	✓	✓
Attack Request	global_1_3	El encabezado Referer de la solicitud HTTP presenta características de ataque.#1	Block	×	✓	✓
Attack Request	global_1_4	El encabezado Accept de la solicitud HTTP presenta características de ataque.#1	Block	×	✓	×
Attack Request	global_d_0226f8975a3bb985c7c069fff282bbdc_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de ataque.#1	Block	✓	✓	×
Attack Request	global_d_34f692ae6798abe9fc822912cfcd4cc5_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de ataque.#2	Block	×	×	✓
Attack Request	global_d_c310e8097811299b9f3d968fe771ebc9_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de ataque.#3	Block	×	✓	✓
Attack Request	global_ge_e397de51d53a70ad1ef6daaf332de446_B_t	El encabezado Accept-Language de la solicitud HTTP presenta características de ataque.#1	Block	✓	✓	✓
Attack Request	global_hm_9c0017d9c9b1aa12ea2df4503d8fae29_B_t	El método de solicitud HTTP presenta características de ataque.#1	Block	×	✓	✓
Attack Request	global_hm_c1db5bd6d4f9da9739224ca848b60e62_B_t	El método de solicitud HTTP presenta características de ataque.#2	Block	×	✓	✓
Attack Request	global_online_01	El encabezado User-Agent de la solicitud HTTP presenta características de ataque.#4	Block	✓	✓	✓
Attack Request	global_online_02	El encabezado Accept-Language de la solicitud HTTP presenta características de ataque.#2	Block	×	✓	✓
Attack Request	global_spv_0_B_t	El encabezado Accept-Language de la solicitud HTTP presenta características de ataque.#3	Block	×	✓	✓
Attack Request	global_spv_1926afcce4ce00198eca856aaaf6fe38_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de ataque.#5	Block	×	✓	✓
Attack Request	global_spv_1_B_t	La URI de la solicitud HTTP presenta características de ataque.#1	Block	×	✓	✓
Attack Request	global_spv_2_B_t	El encabezado Referer de la solicitud HTTP presenta características de ataque.#2	Block	×	✓	✓
Attack Request	global_spv_4957fd08aa78f6e640f2364b087cd117_B_t	El encabezado User-Agent de la solicitud HTTP presenta características de ataque.#6	Block	×	×	✓
Attack Request	global_spv_4e580d90c3df0d19e71fb6947caf5489_C_t	El encabezado Accept de la solicitud HTTP presenta características de ataque.#2	JavaScript Challenge	×	✓	×

Decidir entre cambiar un modo o una regla de mitigación

Puede determinar si conviene cambiar un modo o una regla de mitigación considerando las siguientes dimensiones.

Alcance y frecuencia del impacto
- Si un modo provoca el bloqueo frecuente de varios tipos de comportamientos normales de usuario, como inicios de sesión, cargas y descargas, cambie el modo.
- Si los falsos positivos ocurren solo en un tipo específico de comportamiento de usuario, como un acceso particular de cliente o la actualización de la página principal, y el resto de las cargas de trabajo funcionan con normalidad, es probable que una regla de mitigación específica sea la causa. En este caso, basta con modificar dicha regla.
Cambios en el servicio
- Si se realizan cambios importantes en su servicio, como nuevas interfaces externas o modificaciones en la arquitectura de red existente, el modo actual podría dejar de ser adecuado y afectar negativamente al servicio. En tal situación, debe cambiar el modo.
- Si su servicio permanece estable y solo falla ocasionalmente alguna función, es posible que una regla de mitigación específica no sea compatible con su servicio. En este caso, basta con ajustar dicha regla.
Impacto adverso de las reglas de mitigación en el tráfico del servicio
- Pruebe el modo existente y las reglas de mitigación simulando tráfico del servicio. Si el sistema bloquea una gran cantidad del tráfico simulado, probablemente deba cambiar el modo.
- Si el tráfico simulado solo activa una regla de mitigación específica y esto genera un falso positivo, basta con modificar esa regla. Por ejemplo, si consultas normales de alta frecuencia activan una regla del tipo de solicitud de ataque de alta frecuencia, únicamente ajuste dicha regla.

Determinar qué regla de mitigación modificar

En este ejemplo se utiliza la regla de mitigación con ID global_cc_1321b42f0967324a4581f7df931b4b64_C_t. Esta regla protege contra ataques que envían solicitudes HTTP de alta frecuencia a una página principal. Dicha regla puede generar falsos positivos en los siguientes escenarios:

Durante un evento promocional masivo, muchos usuarios pueden actualizar frecuentemente la página principal en el primer minuto tras el inicio del evento. Esto puede provocar que el sistema genere un falso positivo.
Tras resolver un problema técnico en un sitio web, el administrador debe verificar si se restauraron el rendimiento y las funciones. Para realizar una prueba rápida, podría usar herramientas automatizadas que simulan visitas frecuentes a la página principal. Estas visitas buscan comprobar la velocidad de carga y la disponibilidad de enlaces, pero pueden causar un falso positivo.

Revise los informes de análisis de ataques y los registros para identificar la regla de mitigación que causa el falso positivo. Posteriormente, deshabilite la regla o cambie su acción a Monitor.

Informes de análisis de ataques

En la página Attack Analysis, encontrará detalles sobre ataques de agotamiento de recursos web y podrá consultar el ID de la regla de protección efectiva en la sección Top 10 Hit Policies. En la barra de navegación izquierda, seleccione Investigation & Analysis > Attack Analysis para ver estadísticas sobre el número de solicitudes bloqueadas por diversas directivas de protección, como rate limiting, region blocking y fine-grained access control. En el panel Top 10 Protection Policies de la derecha, se muestra una lista de reglas de protección ordenadas por cantidad de solicitudes bloqueadas; haga clic en Protection Settings para ir a la regla correspondiente y modificarla.
Registros

En la página Log Analysis, introduzca last_owner en el cuadro de búsqueda para ver el ID de la regla de mitigación efectiva. Aquella cuyo ID comienza con global corresponde a una regla de mitigación global.

En el panel de navegación izquierdo, seleccione Investigation & Analysis > Full Log Analysis. En el cuadro de búsqueda ubicado en la parte superior de la página, introduzca last_owner. El panel de campos indexados a la izquierda muestra la distribución de valores para este campo y el porcentaje de aciertos por cada ID de regla.

Notas de uso

Si agrega un sitio web a Anti-DDoS Proxy después del 24 de noviembre de 2021, la directiva de mitigación global en modo Normal se habilita automáticamente para el nombre de dominio correspondiente.
Si agregó un sitio web a Anti-DDoS Proxy antes del 24 de noviembre de 2021, la directiva de mitigación global estará deshabilitada para ese dominio. Se recomienda habilitarla.

Requisitos previos

Debe haber agregado un servicio web a Anti-DDoS Proxy. Para obtener más información, consulte Add websites.

Modificar reglas de mitigación

Inicie sesión en la página General Policies de la consola de Anti-DDoS Proxy.
En la barra de navegación superior, seleccione la región de su instancia.
- Anti-DDoS Proxy (Chinese Mainland): Elija la región Chinese Mainland.
- Anti-DDoS Proxy (Outside Chinese Mainland): Elija la región Outside Chinese Mainland.
Haga clic en la pestaña Protection for Website Services. Dentro de esta pestaña, seleccione el nombre de dominio que desea gestionar en la lista de la izquierda.
En la sección Anti-DDoS Global Mitigation Policy, cambie el modo o haga clic en Settings para modificar las reglas de mitigación incluidas en dicho modo.