Anti-DDoS Basic es un servicio gratuito de protección contra DDoS integrado en los productos de Alibaba Cloud. Cuando adquiere un servidor de Alibaba Cloud, como una instancia de Elastic Compute Service (ECS), o cualquier recurso en la nube con una dirección IP pública, Anti-DDoS Basic se habilita automáticamente como servicio de seguridad gratuito. No es posible deshabilitarlo. Anti-DDoS Basic ofrece una capacidad de mitigación de 500 Mbps a 5 Gbps, y proporciona defensa contra ataques en la capa de red (L3) y en la capa de transporte (L4), además de limpieza de tráfico para sus activos con IP pública. Para consultar las capacidades específicas de mitigación de cada servicio en la nube, consulte View the thresholds that trigger blackhole filtering in Anti-DDoS Basic.
Si un recurso recibe ataques con frecuencia, la plataforma ajusta su capacidad de mitigación según los registros históricos de ataques para mantener la estabilidad general.
Funcionamiento
Anti-DDoS Basic protege los recursos en la nube mediante dos mecanismos:
Análisis de tráfico basado en IA. Anti-DDoS Basic aplica un umbral de limpieza predeterminado que también puede configurar manualmente. Supervisa continuamente el tráfico entrante mediante las capacidades de big data de Alibaba Cloud. En lugar de depender únicamente de umbrales fijos, aprende los patrones normales de tráfico y detecta anomalías. La limpieza de tráfico se activa solo cuando se cumplen dos condiciones: la IA detecta un ataque DDoS y el tráfico entrante alcanza el umbral de BPS o PPS establecido. Este enfoque de doble condición evita falsos positivos provocados por picos normales de tráfico.
Filtrado blackhole. Si un ataque supera la capacidad de mitigación (el umbral de activación de blackhole), Alibaba Cloud bloquea temporalmente todo el tráfico entrante hacia el recurso afectado. Esta medida contiene el ataque y evita que degrade otros activos de la plataforma. Para obtener más información, consulte Blackhole filtering policy of Alibaba Cloud.
Anti-DDoS Basic defiende contra ataques en la capa de red y en la capa de transporte (L3/L4), como ataques de reflexión UDP y ataques SYN/ACK Flood. No protege contra ataques en la capa de aplicación (L7), como ataques HTTP Flood ni ataques CC. Bajo ciertas condiciones —incluidos ataques HTTP Flood o SYN Flood de gran volumen, o tráfico que excede las especificaciones de la plataforma— el acceso al servicio puede verse afectado incluso cuando Anti-DDoS Basic está activo.
Productos en la nube protegidos
Anti-DDoS Basic está integrado en los siguientes productos de Alibaba Cloud y se habilita de forma predeterminada. No es posible deshabilitarlo.
Instancias de Elastic Compute Service (ECS)
Instancias de Server Load Balancer (SLB)
Direcciones IP elásticas (EIP)
EIP asociadas a una puerta de enlace NAT
Puertas de enlace IPv6
Servidores de aplicaciones simples
Instancias de Web Application Firewall (WAF)
Instancias de Global Accelerator (GA)
EIP Anycast
Regiones compatibles
Área | Región |
Asia Pacífico | Thailand (Bangkok), Philippines (Manila), Japan (Tokyo), Indonesia (Jakarta), Malaysia (Kuala Lumpur), South Korea (Seoul), Singapore, China (Hong Kong), China (Chengdu), China (Guangzhou), China (Heyuan), China (Shenzhen), China (Ulanqab), China (Hohhot), China (Zhangjiakou), China (Beijing), China (Qingdao), China (Fuzhou - Local Region), China (Nanjing - Local Region), China (Shanghai), China (Hangzhou) |
Europa y América | UK (London), Germany (Frankfurt), US (Virginia), US (Silicon Valley) |
Medio Oriente | SAU (Riyadh - Partner Region), UAE (Dubai) |
Tipos de ataque y cobertura
|
Attack type |
OSI layer |
Mechanism |
Covered by Anti-DDoS Basic |
|
Ataques volumétricos de red |
L3 |
Consumen el ancho de banda del servidor al saturar la red con paquetes malformados o tráfico de alto volumen (por ejemplo, ataques de reflexión UDP) |
Sí |
|
Ataques de inundación en la capa de transporte |
L4 |
Agotan el estado de las conexiones mediante inundaciones de handshakes de protocolo (por ejemplo, ataques SYN Flood, ataques ACK Flood) |
Sí |
|
Ataques en la capa de aplicación |
L7 |
Consumen la capacidad de procesamiento del servidor con solicitudes que parecen legítimas (por ejemplo, ataques HTTP Flood, ataques CC, ataques DNS Flood) |
No |
Pasos siguientes
Ajuste los umbrales de limpieza. Personalice los umbrales de BPS y PPS en los que se activa la limpieza de tráfico. El umbral máximo depende de las especificaciones de su instancia de producto en la nube. Consulte Set scrubbing thresholds y Cloud product specifications and scrubbing thresholds.
Consulte los umbrales de blackhole por producto. Revise los umbrales de filtrado blackhole para cada producto en la nube compatible. Consulte Thresholds that trigger blackhole filtering in Anti-DDoS Basic.
Mejore su protección. Si Anti-DDoS Basic no cumple con sus requisitos, considere un producto de pago:
Anti-DDoS Native: protección mejorada contra ataques volumétricos sin cambiar su dirección IP.
Anti-DDoS Proxy: protección basada en centros de limpieza para ataques de alto volumen y amenazas en la capa de aplicación.
Para obtener ayuda sobre cómo elegir, consulte Scenario-specific Anti-DDoS solutions.
Preguntas frecuentes
-
¿Por qué mi instancia es objetivo de ataques DDoS?
Los ataques DDoS, como los ataques volumétricos, son actividades maliciosas comunes en Internet. Los atacantes saturan sus objetivos con grandes volúmenes de tráfico malicioso para agotar los recursos de ancho de banda, lo que provoca una denegación de servicio.
Cualquier recurso con una dirección IP pública puede convertirse en objetivo de un ataque DDoS. Estos ataques no se limitan a usuarios o industrias específicas; cualquier activo expuesto a Internet corre un riesgo potencial.
Anti-DDoS Basic de Alibaba Cloud detecta automáticamente los ataques DDoS e inicia la limpieza de tráfico para filtrar el tráfico malicioso y preservar el acceso normal al negocio. Si el volumen del ataque supera la capacidad de mitigación de Anti-DDoS Basic, considere actualizar a Anti-DDoS Native o Anti-DDoS Proxy para obtener una protección mejorada.
-
¿Admite Anti-DDoS Basic el bloqueo de paquetes y tráfico UDP?
Para prevenir ataques de reflexión UDP y otros ataques volumétricos, Anti-DDoS Basic bloquea de forma predeterminada los paquetes UDP de tamaño excesivo y el tráfico UDP fragmentado.
Este filtrado predeterminado puede causar fallos de conexión o anomalías en servicios que dependen de paquetes UDP grandes o de fragmentación UDP, tales como:
Sistemas de videovigilancia basados en GB28181 que utilizan conexiones en cascada
Otras aplicaciones que transmiten datagramas UDP grandes
Si su servicio requiere paquetes UDP grandes o tráfico UDP fragmentado, actualice a un producto de protección de pago que admita directivas personalizadas de filtrado UDP, como Anti-DDoS Proxy.