Análisis de ataques - Anti-DDoS - Centro de documentación de Alibaba Cloud

Después de agregar sus servicios a una instancia de Anti-DDoS Proxy para su protección, puede consultar los registros y detalles de los eventos de ataque detectados en la instancia. Esta información incluye direcciones IP de origen del ataque, distribución por tipo de ataque y distribución geográfica del origen. Utilice estos datos para aplicar configuraciones de mitigación específicas al nombre de dominio o instancia atacada.

Tipos de eventos de ataque

Anti-DDoS Proxy reporta tres tipos de eventos de ataque. La siguiente tabla describe cada tipo. Los detalles disponibles para cada evento se describen en Attack event details.

Tipo de evento de ataque	Descripción
HTTP Attack	Los atacantes utilizan el nombre de dominio de su servicio como objetivo y simulan solicitudes legítimas de usuarios para acceder con frecuencia a páginas que consumen muchos recursos en su servicio web. Esto agota los recursos del servidor hasta que este ya no puede responder a las solicitudes legítimas. Si varios nombres de dominio de servicio reciben ataques simultáneamente, se genera un evento de ataque independiente para cada uno.
Advanced TCP/UDP Attack	Los atacantes tienen como objetivo un puerto de servicio y ocupan ilegítimamente los canales de conexión TCP y UDP del servidor. Esta acción consume una gran cantidad de recursos de conexión, impide que el servidor procese nuevas solicitudes y afecta sus servicios normales. Si varios puertos de servicio bajo la misma dirección IP de Anti-DDoS Proxy reciben ataques al mismo tiempo, se genera un evento de ataque separado para cada puerto.
Volumetric Attack	Los atacantes dirigen el ataque contra la dirección IP de las instancias de Anti-DDoS Proxy y suelen utilizar una gran cantidad de hosts zombi para enviar un alto volumen de solicitudes simultáneamente. Este flujo masivo de tráfico satura los dispositivos de red y los servidores, provoca congestión en el ancho de banda y deja los servicios sin respuesta. Si varias direcciones IP de Anti-DDoS Proxy reciben ataques al mismo tiempo, se genera un evento independiente para el ataque volumétrico en cada dirección IP. Los ataques volumétricos deben alcanzar un umbral de tráfico antes de generar un evento. Para más detalles, consulte Considerations.

Consideraciones

Antes de consultar eventos de ataque, tenga en cuenta los siguientes límites y comportamientos:

Ventana de consulta: Puede consultar eventos de ataque ocurridos dentro de los últimos 180 días.
Generación de eventos Volumetric Attack: Para evitar que un número excesivo de eventos afecte sus servicios, Anti-DDoS Proxy aplica una política predeterminada que genera un evento Volumetric Attack solo cuando el Inbound Traffic supera 1 Gbps y el Traffic Scrubbing descarta 100 Mbps de tráfico. Si el tráfico entrante se mantiene por debajo del umbral de la política predeterminada, no se genera ningún evento de ataque.
Umbral de alerta para servicios con poco tráfico: Si el tráfico de su servicio es bajo, configure un umbral de alerta personalizado en la sección Set Alert Threshold de la página Security Overview. Un umbral de alerta personalizado cubre el caso en que la consola muestra tráfico mitigado pero no se genera ningún evento de ataque.

Requisitos previos

Se adquirió una instancia de Anti-DDoS Proxy (Chinese Mainland) o Anti-DDoS Proxy (Outside Chinese Mainland). Para más información, consulte Purchase an Anti-DDoS Proxy instance.
Se agregó un servicio web o un servicio no web a Anti-DDoS Proxy. Para más información, consulte Add websites o Manage forwarding rules.

Consulta de registros de eventos de ataque

Inicie sesión en la consola de Anti-DDoS Proxy.
En la barra de navegación superior, seleccione la región de su instancia.
- Anti-DDoS Proxy (Chinese Mainland): Elija la región Chinese Mainland.
- Anti-DDoS Proxy (Outside Chinese Mainland): Elija la región Outside Chinese Mainland.
En el panel de navegación izquierdo, elija Analysis > Attack Analysis.
En la página Attack Analysis, seleccione el tipo de evento de ataque y el intervalo de tiempo para filtrar los registros de ataque.

Los registros de ataque que coinciden con el tipo de evento y el intervalo de tiempo aparecen en la lista.
(Opcional) En la columna Actions, haga clic en View Details para ver los detalles de un evento de ataque.

En la página Event Details, puede hacer clic en Export Report en la esquina superior derecha y seleccionar Export Image o Export to PDF para guardar la página actual de detalles del evento como un archivo local en formato PNG o PDF.
(Opcional) En la columna Actions de un evento, haga clic en Effect Feedback para enviar sugerencias o preguntas sobre la mitigación del evento de ataque.

Nota

Si la consulta no devuelve registros de ataque, compruebe si el intervalo de tiempo está fuera de los últimos 180 días y si el tráfico de ataque alcanzó el umbral de generación de eventos. Para más detalles, consulte Considerations.

Detalles de eventos de ataque

Abra la sección que corresponde al tipo de evento de ataque consultado. Cada sección describe el contenido que proporciona la página Event Details para ese tipo de evento y las configuraciones de mitigación que puede aplicar desde ella.

Ataque HTTP (agotamiento de recursos web)

Para un evento HTTP Attack, puede ver los siguientes detalles del evento y aplicar configuraciones de mitigación específicas al nombre de dominio atacado.

Información básica

Attack Time: Hora en que ocurrió el ataque.
Attack Target: Nombre de dominio que recibió el ataque. Haga clic en Mitigation Settings junto a Attack Target para ir a la pestaña Protection for Website Services y configurar políticas de mitigación para el nombre de dominio atacado. Para más información, consulte Protection for Website Services.
Maximum Requests: Número máximo de solicitudes durante el ataque.
Total Received Requests: Número total de solicitudes durante un periodo antes y después del ataque. El intervalo de tiempo se calcula con la siguiente lógica:
- Hora de inicio: Se toma la hora real de inicio del ataque DDoS, se redondea a la marca de hora o media hora anterior más cercana y luego se restan otros 30 minutos. Por ejemplo, si un ataque comienza a las 11:20, la marca de hora o media hora más cercana es las 11:00, y 30 minutos antes son las 10:30. Si un ataque comienza a las 11:40, la marca más cercana es las 11:30, y 30 minutos antes son las 11:00.
- Hora de finalización: Se toma la hora real de finalización del ataque DDoS, se redondea a la marca de hora o media hora siguiente más cercana y luego se suman otros 30 minutos. Por ejemplo, si un ataque termina a las 12:20, la marca más cercana es las 12:30, y 30 minutos después son las 13:00. Si un ataque termina a las 12:40, la marca más cercana es las 13:00, y 30 minutos después son las 13:30.
Total Blocked Requests: Número de solicitudes que bloqueó Anti-DDoS Proxy durante este evento de ataque.

La siguiente tabla describe las demás secciones de los detalles del evento.

Contenido del evento	Descripción
Attack Mitigation Details	Gráfico de tendencias del QPS entrante total y el QPS que activó políticas de mitigación en diferentes módulos, junto con la Effective Time of Policy y las Blocked Requests de las políticas activadas. También puede establecer el intervalo de tiempo de consulta en la esquina superior derecha de esta sección. Los módulos de protección para servicios web incluyen Blacklist, Location Blacklist, Frequency Control, Accurate Access Control y Others (como verificaciones humano-máquina fallidas).
Blocked Requests by Protection Module	Distribución de la cantidad de solicitudes de ataque bloqueadas por los distintos módulos de protección.
Top 10 Hit Policies	Las 10 políticas de mitigación más activadas y sus proporciones. Haga clic en More para ver las 100 políticas más activadas y la proporción de cada una.
Source Location	Distribución geográfica de origen de las solicitudes de ataque. Puede ver la distribución Global (por país) y la distribución de Chinese Mainland (por provincia, ciudad y distrito). Haga clic en More para ver la proporción de solicitudes desde distintas ubicaciones de origen. Para bloquear tráfico de ubicaciones de origen específicas, haga clic en Mitigation Settings debajo de esta sección y configure una Location Blacklist para el nombre de dominio atacado. Para más información, consulte Location Blacklist.
URI Requests	Las cinco URL más solicitadas, ordenadas de forma descendente según el número de solicitudes. Haga clic en More para ver todas las URL solicitadas (es decir, los URI y sus nombres de dominio) y la proporción de cada una. Para limitar la tasa de solicitudes de un URI específico, haga clic en Mitigation Settings debajo de esta sección y configure Frequency Control para el nombre de dominio atacado. Para más información, consulte Frequency Control.
URI Response Time	Los cinco URI con los tiempos de respuesta más largos. El tiempo de respuesta del URI es el tiempo total transcurrido desde que un cliente envía una solicitud para el recurso representado por un URI específico hasta que el cliente termina de recibir y procesar la respuesta del servidor.
Attacker IP Address	Las 10 direcciones IP que iniciaron más conexiones anómalas y las ubicaciones a las que pertenecen. Haga clic en More para ver información sobre las 100 principales direcciones IP de origen. Para bloquear tráfico de una dirección IP específica, haga clic en Mitigation Settings debajo de esta sección y configure una Blacklist and Whitelist para el nombre de dominio atacado. Para más información, consulte Blacklist and Whitelist. Nota Todas las direcciones IP de origen del ataque son direcciones IP de atacantes y no incluyen direcciones IP de solicitudes legítimas.
User-Agent	Los cinco User-Agents con mayor número de solicitudes. El User-Agent es la información relacionada con el navegador del cliente que inició la solicitud de acceso, como el identificador del navegador, el identificador del motor de renderizado y la información de versión.
Referer	Los cinco Referer principales en las solicitudes de acceso. El Referer es la URL de origen de una solicitud de acceso.
HTTP-Method	Los cinco métodos de solicitud más frecuentes en las solicitudes de acceso.
Client TLS Fingerprint	Las cinco huellas digitales de cliente principales en las solicitudes de acceso. Una huella digital de cliente es un valor identificado y calculado a partir de la huella digital TLS del cliente que inició la solicitud de acceso, mediante un algoritmo propietario de Alibaba Cloud. Se utiliza para la coincidencia y protección de solicitudes de acceso.
HTTP/2 Fingerprint	Las cinco huellas digitales HTTP/2 principales en las solicitudes de acceso. Se utilizan para la coincidencia y protección de solicitudes de acceso HTTP/2.
JA3 Fingerprint	Las cinco huellas digitales JA3 principales en las solicitudes de acceso. Se utilizan para identificar y distinguir entre diferentes tipos de clientes TLS, como navegadores web, aplicaciones móviles y malware.
JA4 Fingerprint	Las cinco huellas digitales JA4 principales en las solicitudes de acceso. La huella digital JA4 incorpora más información contextual y algoritmos, como la versión del navegador y el sistema operativo, para reducir los problemas de duplicidad que pueden causar las huellas digitales JA3. Esto permite identificar con mayor precisión a usuarios genuinos e impostores, y disminuir la tasa de falsos positivos.

Puede hacer clic en Mitigation Settings debajo de las secciones anteriores para configurar políticas de mitigación en los distintos módulos de protección. Para más información, consulte Protection for Website Services.

También puede usar los datos de solicitudes de la tabla anterior (tiempos de respuesta de URI, User-Agents, Referers, métodos HTTP y huellas digitales de cliente) para configurar políticas de Frequency Control para el nombre de dominio atacado.

Ataque avanzado TCP/UDP (inundación de conexiones)

Para un evento Advanced TCP/UDP Attack, puede ver los siguientes detalles del evento y aplicar configuraciones de mitigación específicas a la instancia de Anti-DDoS Proxy.

Contenido del evento	Descripción
Attack Time	Hora en que ocurrió el ataque.
Attack Target	Dirección IP y puerto de la instancia de Anti-DDoS Proxy atacada. Haga clic en Mitigation Settings junto a Attack Target para ir a la pestaña Protection for Infrastructure y configurar políticas de mitigación para la instancia atacada. Para más información, consulte Protection for Infrastructure.
Attack Mitigation Details	Gráfico de tendencias de New Connections y Concurrent Connections durante el ataque. Puede establecer el intervalo de tiempo de consulta en la esquina superior derecha de esta sección. El gráfico de tendencias de nuevas conexiones incluye datos sobre conexiones anómalas bloqueadas por diferentes políticas de mitigación, como Blacklist, Location Blacklist y Rate Limit by Source IP (que se divide en New Connections Limit for Source, Concurrent Connections Limit for Source, PPS Limit for Source y Bandwidth Limit for Source). Para más información sobre cómo configurar las políticas de mitigación anteriores, consulte Protection for Infrastructure, Location Blacklist y Rate Limit by Source IP. El gráfico de tendencias de conexiones concurrentes incluye datos sobre conexiones Active e Inactive.
Attack Source IP Addresses	Las cinco direcciones IP que iniciaron más conexiones anómalas y las ubicaciones a las que pertenecen. Haga clic en More para ver información sobre las 100 principales direcciones IP de atacantes. Nota Todas las direcciones IP de origen del ataque son direcciones IP de atacantes y no incluyen direcciones IP de solicitudes legítimas. Para bloquear tráfico de una dirección IP específica, configure una Blacklist and Whitelist (IP address-based) para la instancia atacada. Para más información, consulte Protection for Infrastructure.
Attack Type	Distribución por tipo de protocolo del tráfico de ataque. Haga clic en More para ver la proporción de solicitudes para los diferentes tipos de ataque.
Attack Source Location	Distribución geográfica de origen de las solicitudes de ataque. Haga clic en More para ver la proporción de solicitudes desde distintas ubicaciones de origen. Para bloquear tráfico de ubicaciones de origen específicas, configure una Location Blacklist para la instancia atacada. Para más información, consulte Location Blacklist.

Ataque volumétrico

Para un evento Volumetric Attack, puede ver los siguientes detalles del evento y aplicar configuraciones de mitigación específicas a la instancia de Anti-DDoS Proxy.

Contenido del evento	Descripción
Attack Time	Hora en que ocurrió el ataque.
Attack Target	Dirección IP de la instancia de Anti-DDoS Proxy atacada. Haga clic en Mitigation Settings junto a Attack Target para ir a la pestaña Protection for Infrastructure y configurar políticas de mitigación para la instancia atacada. Para más información, consulte Protection for Infrastructure.
Attack Mitigation Details	bps: Gráfico de tendencias del ancho de banda del tráfico entrante, saliente y mitigado durante el ataque. pps: Gráfico de tendencias de los paquetes de tráfico entrante, saliente y mitigado durante el ataque. Para conocer los umbrales de tráfico que deben alcanzarse antes de generar un evento, consulte Considerations.
Source IP Address	Las 10 direcciones IP que iniciaron más solicitudes y las ubicaciones a las que pertenecen. Haga clic en More para ver información sobre las 100 principales direcciones IP de origen. Nota Las direcciones IP de origen incluyen únicamente direcciones IP de atacantes. Para bloquear tráfico de una dirección IP específica, haga clic en Blacklist Settings debajo de la lista y establezca una Blacklist and Whitelist (IP address-based). Para más información, consulte Protection for Infrastructure.
Attack Source ISP	Distribución por ISP de origen del tráfico de ataque. Haga clic en More para ver la proporción de solicitudes de los distintos ISP. Nota Este tráfico incluye únicamente tráfico de ataque. Anti-DDoS Proxy (Outside Chinese Mainland) no admite estos datos.
Attack Source Location	Distribución geográfica de origen del tráfico de ataque. Haga clic en More para ver la proporción de solicitudes desde distintas ubicaciones de origen. Para bloquear tráfico de ubicaciones de origen específicas, haga clic en Location Blacklist Settings debajo de esta sección y configure una Location Blacklist para la instancia atacada. Para más información, consulte Location Blacklist. Nota Este tráfico incluye únicamente tráfico de ataque.
Attack Type	Distribución por tipo de protocolo del tráfico entrante. Haga clic en More para ver la proporción de solicitudes de los diferentes tipos. El tráfico entrante incluye tanto tráfico de ataque como tráfico normal de servicio.
Destination Port	Proporción de tráfico entrante para cada puerto de destino. Haga clic en More para ver los datos de proporción de cada puerto. El tráfico entrante incluye tanto tráfico de ataque como tráfico normal de servicio.