Anti-DDoS:Descripción general de seguridad

Descripción general

Anti-DDoS Proxy le permite consultar datos de los últimos 30 días. En la página Security Overview, haga clic en Traffic Relationships and Description en la esquina superior derecha para conocer los conceptos clave de tráfico de Anti-DDoS Proxy.

En Anti-DDoS Proxy, los registros de negocio hacen referencia a los registros de acceso en sus servidores (como los registros de acceso de Nginx o Apache), no a los registros generados por la consola de Anti-DDoS Proxy. Analice las direcciones IP de origen, la frecuencia de solicitudes y el estado de respuesta en sus registros de negocio para identificar tráfico anómalo de ataques CC. La función log analysis en la consola de Anti-DDoS Proxy registra los accesos al sitio web tal como los percibe el servicio de protección Anti-DDoS; estos registros y los registros de negocio de su servidor provienen de distintas fuentes de datos y pueden usarse de forma complementaria.

Requisitos previos

• Se adquirió una instancia de Anti-DDoS Proxy (Chinese Mainland) o Anti-DDoS Proxy (Outside Chinese Mainland). Para obtener más información, consulte Purchase an Anti-DDoS Proxy instance.

• Se agregó un servicio de sitio web o un servicio que no es de sitio web a Anti-DDoS Proxy. Para obtener más información, consulte Add websites o Manage forwarding rules.

Descripción general de protección para instancias

Anti-DDoS Proxy muestra información del servicio y detalles de ataques DDoS para cada instancia.

1. Inicie sesión en la consola de Anti-DDoS Proxy.

2. En la barra de navegación superior, seleccione la región de su instancia.

   • Anti-DDoS Proxy (Chinese Mainland): Elija la región Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland): Elija la región Outside Chinese Mainland.

3. En el panel de navegación izquierdo, haga clic en Security Overview. En la página Security Overview, haga clic en la pestaña Instance para consultar la siguiente información.

   Función	Descripción
   Bandwidth	Anti-DDoS Proxy (Chinese Mainland): Proporciona un gráfico de tendencias de Bandwidth que muestra las tendencias del tráfico entrante, tráfico saliente, tráfico de ataque y tráfico limitado en una instancia durante un período de tiempo especificado, medido en bps o pps. Anti-DDoS Proxy (Outside Chinese Mainland) ofrece tres pestañas: Overview (equivalente al gráfico de tendencias de ancho de banda), Inbound Traffic Distribution (distribución del tráfico entrante) y Outbound Traffic Distribution (distribución del tráfico saliente).
   Connections	Concurrent Connections: Cantidad de conexiones TCP establecidas simultáneamente entre los clientes y Anti-DDoS Proxy. Conexión activa: Número de conexiones TCP que se encuentran en estado Established. Conexión inactiva: Número de conexiones TCP que se encuentran en cualquier estado distinto de Established. New Connections: Cantidad de nuevas conexiones TCP establecidas por segundo entre los clientes y Anti-DDoS Proxy.
   Network Layer Attack Events, Alert on Exceeded Upper Limits y Destination Rate Limit Events	Network Layer Attack Events: Pase el cursor sobre una dirección IP o puerto atacado para ver detalles como el tipo de ataque, el pico y el resultado de la mitigación. Alerts on Exceeded Upper Limits: Los tipos de eventos incluyen ancho de banda del servicio, nuevas conexiones y conexiones simultáneas. Se genera una alerta si una métrica supera los límites de su plan. Aunque esto no afecta a sus servicios, se recomienda actualizar su instancia. Para obtener más información, consulte Upgrade an instance. Haga clic en Details en la columna Status para ir a la página System Logs y obtener más información. Nota Los datos de estas alertas, que abarcan el día anterior, se actualizan cada lunes a las 10:00 (GMT+8). Si configuró notificaciones, las recibirá a la misma hora. Destination Rate Limit Events Cuando métricas como nuevas conexiones, conexiones simultáneas o ancho de banda del servicio superan significativamente las especificaciones de la instancia, se activa una política de limitación de tasa. Esto afecta a su servicio y genera un evento de limitación de tasa en destino. Si la limitación de tasa se activa por tráfico normal del servicio, actualice su instancia lo antes posible. Para obtener más información, consulte Upgrade an instance. Si la limitación de tasa se activa por un ataque DDoS, ajuste rápidamente sus políticas de protección. Para obtener más información, consulte Protection settings. Haga clic en Details en la columna Status para ir a la página System Logs y obtener más información.
   Service Distribution by Location y Service Distribution by ISP	Service Distribution by Location: Distribución geográfica de origen del tráfico normal del servicio. Service Distribution by ISP: Distribución de proveedores de servicios de Internet (ISP) del tráfico normal del servicio.

Descripción general de protección para nombres de dominio

Anti-DDoS Proxy muestra información del servicio y detalles de eventos de ataque DDoS para cada nombre de dominio.

1. Inicie sesión en la consola de Anti-DDoS Proxy.

2. En la barra de navegación superior, seleccione la región de su instancia.

   • Anti-DDoS Proxy (Chinese Mainland): Elija la región Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland): Elija la región Outside Chinese Mainland.

3. En el panel de navegación izquierdo, haga clic en Security Overview. En la página Security Overview, haga clic en la pestaña Websites para consultar la siguiente información.

   • Consulta del total de QPS por instancia

     En la lista desplegable All Domain Names, haga clic en Total QPS by Instance, seleccione las direcciones IP exclusivas y luego haga clic en OK.

     Función	Descripción
     Request Rate (QPS)	Muestra la tendencia de la tasa de solicitudes para cada instancia de Anti-DDoS Proxy. La granularidad temporal varía según el intervalo de tiempo especificado.
     Status Codes and Requests	Muestra el recuento acumulativo de códigos de respuesta que devolvió la instancia de Anti-DDoS Proxy en cada intervalo de tiempo. 2XX: El servidor recibió, entendió y aceptó correctamente la solicitud. Nota La categoría 2XX incluye todos los códigos de respuesta del 200 al 299. 3XX: El cliente debe realizar una acción adicional para completar la solicitud. Estos códigos de estado suelen usarse para redirecciones. 4XX: Es posible que haya ocurrido un error en el cliente que impide al servidor procesar la solicitud. 5XX: Ocurrió un error o excepción mientras el servidor procesaba la solicitud.

   • Consulta de QPS por nombre de dominio

     En la lista desplegable All Domain Names, haga clic en QPS by Domain, seleccione los nombres de dominio y luego haga clic en OK.

     Función	Descripción
     Request Rate (QPS)	Muestra la tendencia de la tasa de solicitudes para cada nombre de dominio. La granularidad temporal varía según el intervalo de tiempo especificado.
     Bandwidth	Muestra la tendencia del ancho de banda máximo entrante y saliente para el nombre de dominio. Nota Solo se cuenta el campo de carga útil. Esto puede causar una desviación respecto al gráfico de tendencias de bps a nivel de instancia.
     Status Codes and Requests	Incluye códigos de respuesta tanto de Anti-DDoS Proxy como del servidor de origen. El recuento registrado es el valor acumulativo dentro de cada intervalo de granularidad temporal. La siguiente lista describe los códigos de respuesta: 2XX: El servidor recibió, entendió y aceptó correctamente la solicitud. Nota 2XX incluye todos los códigos de estado del 200 al 299. 200: La solicitud se completó correctamente. 3XX: El cliente debe realizar una acción adicional para completar la solicitud. Estos códigos de estado suelen usarse para redirecciones. 4XX: Es posible que haya ocurrido un error en el cliente que impide al servidor procesar la solicitud. Nota 4XX incluye todos los códigos de estado del 400 al 499. 403: El servidor entendió la solicitud del cliente, pero se negó a cumplirla. 404: El servidor no pudo encontrar el recurso solicitado por el cliente. 405: El servidor entendió la ruta del recurso de la solicitud del cliente, pero el método HTTP utilizado en la solicitud, como GET, POST, PUT o DELETE, no está permitido para ese recurso. 410: El recurso solicitado se eliminó permanentemente del servidor. 499: El cliente canceló la solicitud antes de que el servidor terminara de procesarla. 5XX: Ocurrió un error o excepción mientras el servidor procesaba la solicitud. Nota 5XX incluye todos los códigos de estado del 500 al 599. 502: Anti-DDoS Proxy, actuando como servidor proxy, recibió una respuesta no válida del servidor ascendente al intentar cumplir la solicitud. 503: El servidor no puede manejar la solicitud actualmente, posiblemente debido a mantenimiento temporal o sobrecarga del servidor. 504: Anti-DDoS Proxy, actuando como servidor proxy, no recibió una respuesta oportuna del servidor ascendente al intentar cumplir la solicitud.
     URI Requests, URI Response Time, etc.	Muestra los 5 datos principales de las métricas correspondientes. Haga clic en More para ver más datos. Las métricas incluyen recuento de solicitudes URI, tiempo de respuesta URI, User-Agent, Referer, HTTP-Method, huella digital TLS del cliente, huella digital HTTP/2.0, huella digital JA3 y huella digital JA4. Para obtener más información sobre cada métrica, consulte Appendix 1: Supported HTTP request fields. Nota URI Response Time es el tiempo, en milisegundos, desde que Anti-DDoS Proxy recibe una solicitud hasta que devuelve una respuesta. El valor mostrado es el tiempo de respuesta máximo registrado para un URI dentro del período de tiempo seleccionado.
     Application Layer Scrubbing Events	Pase el cursor sobre un nombre de dominio para ver detalles del ataque, como el pico y el tipo de ataque.
     Source Location	Distribución geográfica de las fuentes de acceso.
     Cache Hit Ratio	Esta métrica solo está disponible si la función de caché de páginas estáticas está habilitada. Para obtener más información, consulte DDoS Protection Lab.

Establecer un umbral de alerta

Para evitar un exceso de alertas durante ataques DDoS de alto volumen, la política predeterminada de Anti-DDoS Proxy genera una alerta solo cuando el tráfico entrante es de 500 Mbps o superior y el tráfico depurado supera los 100 Mbps. Si su servicio tiene poco tráfico, puede establecer un umbral de alerta personalizado para recibir notificaciones de ataques que estén por debajo de los límites predeterminados. Esto resuelve situaciones en las que observa tráfico depurado en la consola pero no se genera ningún evento de ataque correspondiente.

1. Inicie sesión en la consola de Anti-DDoS Proxy.

2. En la barra de navegación superior, seleccione la región de su instancia.

   • Anti-DDoS Proxy (Chinese Mainland): Elija la región Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland): Elija la región Outside Chinese Mainland.

3. En el panel de navegación izquierdo, haga clic en Security Overview. En el área Set Alert Threshold de la página Security Overview, configure un umbral de alerta de ataque personalizado.

   En el cuadro de diálogo Set Alert Threshold, establezca Attack Type en DDoS High-Volume Attack. Para Alert Threshold, seleccione Default o Inbound Bandwidth. Si selecciona Inbound Bandwidth, introduzca un umbral de 100 a 10,000 Mbps.

   • El umbral se aplica al ancho de banda entrante total recibido por una sola dirección IP de la instancia de Anti-DDoS Proxy.

   • El tráfico entrante incluye tanto tráfico de ataque como tráfico de servicio.

   • Se genera un evento de alerta cuando el tráfico entrante es mayor o igual al umbral personalizado y el tráfico depurado supera los 100 Mbps.

   • Esta configuración se aplica a todas las direcciones IPv4 de la instancia de Anti-DDoS Proxy. No es posible establecer un umbral personalizado para direcciones IPv6.