ESA protege contra los ataques de denegación de servicio distribuido (DDoS) mediante protección en las capas de red y transporte (L3/L4), protección en la capa de aplicación (L7) y un panel de análisis de DDoS.
Qué es un ataque DDoS
Un ataque DDoS agota sus recursos para paralizar los servicios. Por lo general, sigue tres pasos:
Construir una botnet: el atacante compromete una gran cantidad de dispositivos conectados a internet mediante virus, troyanos o la explotación de vulnerabilidades. Así forma una red masiva controlada por comandos (botnet).
Emitir comandos de ataque: el atacante envía comandos a todas las máquinas comprometidas a través de un servidor de comando y control (C&C). El objetivo es una dirección IP o un dominio específico.
Lanzar un ataque concentrado: las máquinas comprometidas en todo el mundo inundan simultáneamente su servidor con solicitudes. Esto satura el servicio.
Las fuentes de ataque se distribuyen globalmente, lo que dificulta enormemente su rastreo y bloqueo.
Tipos comunes de ataques DDoS
Los ataques DDoS se clasifican en dos categorías según la capa de red:
-
Ataque en la capa de red o de transporte (L3/L4)
Funcionamiento: inunda la red con paquetes TCP o UDP manipulados para agotar el ancho de banda del servidor o las tablas de conexiones. De este modo, bloquea las solicitudes legítimas.
Tipos comunes: SYN Flood, UDP Flood, ACK Flood, entre otros.
Características: son ataques de fuerza bruta de alto volumen que saturan los objetivos con un tráfico masivo.
-
Ataque en la capa de aplicación (L7)
Funcionamiento: envía solicitudes aparentemente válidas (HTTP GET/POST) que imitan el comportamiento de usuarios legítimos. En lugar de congestionar la red, estas solicitudes agotan los recursos de la aplicación del servidor, como la CPU y la memoria.
Tipo común: HTTP Flood, también conocido como ataque CC (Challenge Collapsar).
Características: el volumen de tráfico no necesariamente es alto, pero el consumo de recursos por solicitud sí lo es. El tráfico de ataque se mezcla con el legítimo, lo que dificulta distinguirlo y mitigarlo.
Identificar un ataque DDoS
Su servicio podría estar bajo un ataque DDoS si observa alguno de estos síntomas:
El sitio web o la aplicación deja de ser accesible de forma repentina o responde con extrema lentitud.
El tráfico de red aumenta de manera anormal y supera por mucho los niveles máximos habituales. Puede comprobarlo en el informe Data Overview de la página Overview en la consola de ESA.
El uso de CPU o de memoria del servidor se dispara cerca del 100 % durante un periodo prolongado.
Los registros muestran una cantidad masiva de solicitudes provenientes de múltiples direcciones IP aleatorias. Para investigarlo, utilice la función Security Analytics dentro de Security en la consola de ESA.
Protección DDoS en ESA
|
Categoría |
Función |
Descripción |
|
Mitigación de ataques en la capa de red o de transporte (L3/L4) |
ESA ofrece Basic DDoS Protection a nivel de plataforma de forma predeterminada para los planes Entrance, Pro y Premium. Esta función defiende contra ataques DDoS de hasta 10 Gbps, aunque no garantiza un valor específico. |
|
|
Con el plan Enterprise, usted puede adquirir Best-Effort Protection adicional con capacidad de hasta Tbps. Además, es posible proteger simultáneamente los servicios Layer 4 proxy. |
||
|
Mitigación de ataques en la capa de aplicación (L7) |
HTTP DDoS Attack Protection utiliza las reglas del motor anti-DDoS de Alibaba Cloud, desarrolladas con amplia experiencia en defensa contra ataques. De este modo, se reducen los ataques CC que llegan al origen cuando inicia el ataque. |
|
|
Durante un ataque, el motor de protección aprende continuamente las características del ataque y genera políticas de protección específicas en cuestión de minutos. |
||
|
Análisis de datos de ataques DDoS |
La pestaña DDoS Analytics muestra los patrones de tráfico para ayudarle a distinguir el uso legítimo de la actividad maliciosa. |
|
|
La pestaña Attack Details registra todos los ataques DDoS detectados y mitigados. Filtre por hora y tipo de ataque para investigar incidentes específicos. Utilice esta vista para: |
Niveles de protección
|
Región del servicio |
Nivel de protección |
Descripción |
|
China continental |
Protección garantizada de 30 Gbps y máximo de 300 Gbps |
Protección garantizada de hasta 30 Gbps. La protección elástica se configura hasta 300 Gbps. Por ejemplo, si establece 200 Gbps, los ataques de entre 30 y 200 Gbps se facturan con la tarifa elástica. Los ataques que superan el ancho de banda configurado activan un black hole e interrumpen los servicios. |
|
Protección garantizada de 60 Gbps y máximo de 600 Gbps |
Protección garantizada de hasta 60 Gbps. La protección elástica se configura hasta 600 Gbps. Por ejemplo, si establece 500 Gbps, los ataques de entre 60 y 500 Gbps se facturan con la tarifa elástica. Los ataques que superan el ancho de banda configurado activan un black hole e interrumpen los servicios. |
|
|
Protección garantizada de 100 Gbps y máximo de 1 Tbps |
Protección garantizada de hasta 100 Gbps. La protección elástica se configura hasta 1 Tbps. Por ejemplo, si establece 500 Gbps, los ataques de entre 100 y 500 Gbps se facturan con la tarifa elástica. Los ataques que superan el ancho de banda configurado activan un black hole e interrumpen los servicios. |
|
|
Global (excepto China continental) |
Máximo de 300 Gbps |
Protege contra ataques de hasta 300 Gbps. Los ataques que superan los 300 Gbps activan un black hole e interrumpen los servicios. |
|
Protección ilimitada Anycast a nivel de terabits (2 veces al mes) |
Protege contra ataques de hasta 1 Tbps con 2 instancias de protección al mes. Los ataques que superan 1 Tbps activan un black hole e interrumpen los servicios. Nota
Solo los ataques de capa de red con picos superiores a 20 Gbps consumen una instancia de protección. Los ataques CC de capa de aplicación no lo hacen. Una instancia se consume aproximadamente 30 minutos después de que termina un ataque y luego el contador se restablece. |
|
|
Protección ilimitada Anycast a nivel de terabits (instancias ilimitadas) |
Protege contra ataques de hasta 1 Tbps. Los ataques que superan 1 Tbps activan un black hole e interrumpen los servicios. |
-
Cuando el tráfico de un ataque supera el umbral de protección y activa un black hole, el ancho de banda elástico correspondiente a ese evento no se factura.
Ejemplo 1: Usted adquiere Best-Effort Protection (protección garantizada de 30 Gbps y máximo elástico de 300 Gbps). Si el tráfico del ataque alcanza 500 Gbps y ESA activa un black hole, el ancho de banda elástico de 30 a 300 Gbps de este evento no se factura.
Ejemplo 2: Usted adquiere Best-Effort Protection (protección garantizada de 60 Gbps y máximo elástico de 600 Gbps). Si la plataforma ESA carece de recursos debido a ataques simultáneos a gran escala y ESA activa un black hole de forma anticipada cuando el tráfico alcanza 500 Gbps, el ancho de banda elástico de 60 a 500 Gbps no se factura.
La protección de China continental es independiente de la protección global (excepto China continental). Si su sitio tiene aceleración global, pero solo adquirió Best-Effort Protection de 600 Gbps para China continental, ESA hace todo lo posible por enrutar las solicitudes hacia China continental para limpiarlas cuando otras regiones reciben ataques. Debido a los requisitos de registro ICP, actualmente no se admite la protección entre regiones para sitios con aceleración global (excepto China continental).
Todos los planes de protección DDoS de ESA (hasta XXX Gbps y protección ilimitada) funcionan en modo de mejor esfuerzo. La capacidad de protección real se ajusta de forma dinámica según la utilización general de la capacidad de protección de los centros de datos de Alibaba Cloud. Esta capacidad suele aumentar conforme se expande la infraestructura de red de Alibaba Cloud, aunque puede disminuir temporalmente en circunstancias especiales, como restricciones de recursos. Cuando la magnitud de un ataque DDoS supera la capacidad de protección de la infraestructura de ESA, Alibaba Cloud ESA implementa medidas de mitigación, que incluyen, entre otras, limitación de velocidad y blackholing, para asegurar la estabilidad de la infraestructura.
Para conocer los precios de la protección elástica, contáctenos.
Disponibilidad de funciones por plan
Categoría de función | Función detallada | Entrance (0 USD/mes) | Pro (15 USD/mes) | Premium (249 USD/mes) | Enterprise (precio personalizado) |
Protección DDoS básica | |||||
Protección ilimitada | Contacte a ventas para obtener un precio personalizado | ||||
Protección contra ataques DDoS HTTP | |||||
Aprendizaje profundo y protección | |||||
Políticas basadas en escenarios |