ApsaraDB RDS protege las instancias de base de datos contra ataques tanto en la capa de red como en la capa de aplicación, lo que incluye la mitigación de ataques DDoS (filtrado de tráfico y filtrado blackhole) y la detección de inyecciones SQL.
Conéctese a las instancias de RDS mediante una red interna en lugar de hacerlo por Internet. Esta práctica ayuda a prevenir ataques DDoS.
Mitigación de ataques DDoS
Los ataques volumétricos de red saturan una instancia de RDS con tráfico de Internet para agotar su capacidad y denegar el servicio a los usuarios legítimos. RDS se defiende automáticamente contra estos ataques en dos fases:
Filtrado de tráfico: filtra el tráfico malicioso y mantiene la instancia accesible.
Filtrado blackhole: se aplica si el filtrado de tráfico no logra contener el ataque o si se alcanza el umbral de activación del blackhole. Descarta todo el tráfico entrante de Internet para proteger la infraestructura subyacente.
Ambas fases se activan y desactivan automáticamente.
Filtrado de tráfico
El filtrado de tráfico actúa únicamente sobre el tráfico entrante de Internet y no afecta las conexiones de red interna ni las operaciones normales de la base de datos.
Este proceso se activa cuando se alcanza alguno de los siguientes umbrales:
|
Métrica |
Umbral |
|
Paquetes por segundo (PPS) |
30,000 |
|
Bits por segundo (BPS) |
180 Mbit/s |
|
Nuevas conexiones simultáneas por segundo |
10,000 |
|
Conexiones simultáneas activas |
10,000 |
|
Conexiones simultáneas inactivas |
100,000 |
Filtrado blackhole
El filtrado blackhole es una medida de último recurso. Cuando se activa, se descarta todo el tráfico entrante de Internet hacia la instancia de RDS en el nivel de red, por lo que la instancia queda inaccesible desde Internet. Las aplicaciones conectadas mediante Internet dejan de estar disponibles hasta que finaliza el filtrado.
El filtrado blackhole no afecta las conexiones de red interna.
El filtrado blackhole se activa cuando se cumple alguna de las siguientes condiciones:
El BPS alcanza 2 Gbit/s.
El filtrado de tráfico no logra contener el ataque.
El filtrado blackhole se desactiva automáticamente después de 2.5 horas.