Anti-DDoS Native est un service de sécurité qui renforce directement la capacité d'atténuation des attaques DDoS des services Alibaba Cloud. Il protège vos services cloud sans modifier votre architecture réseau. Une fois l'instance achetée et les adresses IP associées, la protection devient effective en quelques minutes. Anti-DDoS Native atténue principalement les attaques DDoS volumétriques de couche 3 et de couche 4. Cette solution convient si vous souhaitez renforcer rapidement vos défenses de base contre les DDoS à moindre coût.
Concepts
Attaque DDoS : une attaque par déni de service distribué (DDoS) sature les ressources réseau ou matérielles avec du trafic malveillant, rendant le service indisponible. Pour plus d'informations, consultez la rubrique Qu'est-ce qu'une attaque DDoS ?.
Fonctionnement
Anti-DDoS Native utilise un mode de déploiement en dérivation. Les systèmes de détection des attaques DDoS et de nettoyage du trafic sont déployés au niveau de la sortie des centres de données Alibaba Cloud. Le service identifie et nettoie le trafic d'attaque DDoS principalement grâce à un nettoyage basé sur des seuils, complété par un blocage actif, sans affecter les charges de travail légitimes.
Détection des attaques : le système surveille en temps réel le trafic transitant par les adresses IP publiques.
Nettoyage du trafic : lorsque le trafic entrant dépasse le seuil de nettoyage, le système redirige automatiquement ce trafic vers un centre de nettoyage.
Réinjection du trafic : après avoir éliminé le trafic d'attaque, le centre de nettoyage réinjecte le trafic de service propre vers le serveur d'origine, maintenant ainsi l'accessibilité de vos services pendant l'attaque.
Avantages
Déploiement instantané : la protection est activée dès l'achat et le déploiement peut prendre aussi peu qu'une minute. La capacité d'atténuation s'applique directement aux services cloud, sans nécessité de déployer ou de remplacer des adresses IP.
Défense élastique : lors d'attaques à grande échelle, le système utilise automatiquement toutes les ressources d'atténuation DDoS disponibles dans la région actuelle pour offrir une protection illimitée.
Accès BGP multi-opérateurs : la bande passante Border Gateway Protocol (BGP) permet à une seule adresse IP d'offrir un accès haut débit sur les réseaux de différents opérateurs, tels que China Telecom, China Unicom et China Mobile.
Capacité de nettoyage à grande échelle : une bande passante de nettoyage suffisante répond aux besoins de sécurité des grands événements promotionnels, des lancements de nouveaux produits et des charges de travail critiques.
Partage flexible : plusieurs adresses IP peuvent partager la même instance de protection pour répondre aux besoins d'atténuation de plusieurs actifs.
Types de services cloud pris en charge
|
Dimension de comparaison |
Services cloud standard |
Services cloud améliorés |
|
Définition |
Services cloud disposant de la capacité d'atténuation DDoS par défaut d'Alibaba Cloud, tels que les instances ECS standard, les EIP et les instances SLB. |
Services cloud pour lesquels une protection DDoS améliorée est activée lors de l'achat. Actuellement, cela concerne uniquement Anti-DDoS Native (Advanced) EIP(Anti-DDoS Advanced EIP). |
|
Application des politiques d'atténuation |
Les politiques d'atténuation, telles que les listes noires et blanches ou la politique de liste noire géographique, ne s'appliquent que lorsque l'actif est attaqué et que son trafic est en cours de nettoyage. |
Les politiques d'atténuation sont toujours actives. Tout le trafic est traité par le centre de nettoyage. |
|
Capacité d'atténuation |
Partage la capacité de nettoyage au niveau de la région, qui peut atteindre plusieurs centaines de Gbps en Chine continentale. |
Offre une protection illimitée au niveau du Tbps. |
|
Configuration d'achat |
Lors de l'achat d'une EIP, définissez Security Protection sur Default. |
Lors de l'achat d'une EIP, définissez Security Protection sur Anti-DDoS (Pro/Premium). |
Éditions d'Anti-DDoS Native
Catégorie | Édition de l'instance | Description |
Anti-DDoS Native 1.0 (abonnement) | Enterprise | N'est plus disponible pour les nouveaux achats. |
Anti-DDoS Native 2.0 (abonnement) | SMB, Enterprise | Prend en charge les services cloud standard et les actifs Anti-DDoS Advanced EIP (EIP avec protection DDoS améliorée). L'édition SMB prend en charge uniquement les services cloud standard et ne prend pas en charge Anti-DDoS Advanced EIP.
|
Anti-DDoS Native 2.0 (paiement à l'utilisation) | Enterprise | N'est plus disponible pour les nouveaux achats. Prend en charge les services cloud standard et les services cloud améliorés. |
Comparaison des spécifications des instances
Élément de comparaison | Anti-DDoS Native 1.0 | Anti-DDoS Native 2.0 (abonnement) | Anti-DDoS Native 2.0 (paiement à l'utilisation) (N'est plus disponible pour les nouveaux achats) | |
Enterprise | SMB | Enterprise | Enterprise | |
Objets protégés | Services Alibaba Cloud : ECS, SLB, EIP (y compris les EIP associées aux passerelles NAT), passerelles IPv6, Simple Application Server, WAF et GA |
| ||
Méthode de facturation | Abonnement | Abonnement | Abonnement | Paiement à l'utilisation |
Sessions d'atténuation | Illimité | 2 par mois | Illimité | Illimité |
Types d'actifs protégés | Services cloud standard | Services cloud standard et services cloud améliorés (Anti-DDoS Advanced EIP) | ||
Nombre de régions des actifs protégés | Protège les actifs auxquels des adresses IP publiques sont attribuées dans une seule région. | Protège les actifs auxquels des adresses IP publiques sont attribuées dans une seule région. | Protège les actifs auxquels des adresses IP publiques sont attribuées dans toutes les régions sous le compte Alibaba Cloud actuel. | Protège les actifs auxquels des adresses IP publiques sont attribuées dans toutes les régions sous le compte Alibaba Cloud actuel. |
Type de réseau des actifs protégés | Protège les actifs auxquels un seul type d'adresse IP publique est attribué : IPv4 ou IPv6. | Protège les actifs auxquels un seul type d'adresse IP publique est attribué : IPv4 ou IPv6. | Protège les actifs IPv4 et IPv6 auxquels des adresses IP publiques sont attribuées. | Protège les actifs IPv4 et IPv6 auxquels des adresses IP publiques sont attribuées. |
Nombre d'adresses IP protégées | Commence à 100 lors de l'achat d'une instance ; vous pouvez sélectionner librement le quota. | Vous pouvez sélectionner de 1 à 29 lors de l'achat d'une instance. | Vous pouvez sélectionner de 30 à 2 000 lors de l'achat d'une instance. Pour une spécification supérieure, contactez votre gestionnaire commercial. | Jusqu'à 2 000. |
Bande passante propre | Vous pouvez sélectionner librement la bande passante lors de l'achat d'une instance et l'étendre sans limite supérieure. | Vous pouvez sélectionner de 50 Mbps à 1 000 Mbps lors de l'achat d'une instance. | Commence à 100 Mbps lors de l'achat d'une instance. Vous pouvez sélectionner librement la bande passante et l'étendre sans limite supérieure. Les services cloud standard n'ont aucune limite de bande passante. Les services cloud améliorés (Anti-DDoS Advanced EIP) ont une limite de bande passante. |
|
Bande passante propre extensible | Non pris en charge. | Pris en charge. La méthode de mesure du 95e centile quotidien est activée par défaut. Une fois activée, la bande passante propre totale prise en charge est cinq fois supérieure à la bande passante propre garantie. | Sans objet. | |
Journaux SLS | Pris en charge. | Non pris en charge. | Pris en charge. | Pris en charge. |
Gestion multi-comptes | Non pris en charge. | Non pris en charge. | Pris en charge. | Pris en charge. |
Comparaison des performances de protection
Anti-DDoS Native est disponible en versions 1.0 et 2.0. La version 1.0 n'est plus disponible pour les nouveaux achats. Le tableau suivant répertorie les valeurs de référence de la capacité d'atténuation pour la version 2.0 uniquement.
Anti-DDoS Native utilise le modèle de « protection illimitée ». Sa capacité d'atténuation n'est pas une valeur fixe, mais s'ajuste dynamiquement en fonction de la capacité globale d'atténuation du centre de données cloud. La capacité d'atténuation augmente généralement à mesure qu'Alibaba Cloud étend son infrastructure réseau, mais elle peut également diminuer temporairement dans des cas particuliers, tels que des contraintes de ressources.
Région | Anti-DDoS Native 2.0 (abonnement) SMB | Anti-DDoS Native 2.0 (abonnement) Enterprise | Anti-DDoS Native 2.0 (paiement à l'utilisation) Enterprise (N'est plus disponible pour les nouveaux achats) | |||
Services cloud standard | Services cloud standard | Services cloud améliorés | Services cloud standard | Services cloud améliorés | ||
Chine continentale | Chine (Pékin), Chine (Shanghai), Chine (Hangzhou), Chine (Shenzhen), Chine (Ulanqab), Chine (Zhangjiakou), Chine (Hohhot), Chine (Heyuan) | Jusqu'à 300 Gbps à 600 Gbps. | Jusqu'au niveau du Tbps. Disponible à l'achat uniquement en Chine (Pékin), Chine (Shanghai) et Chine (Hangzhou). | Jusqu'à 300 Gbps à 600 Gbps. | Jusqu'au niveau du Tbps. Disponible à l'achat uniquement en Chine (Pékin), Chine (Shanghai) et Chine (Hangzhou). | |
Chine (Chengdu), Chine (Guangzhou) et Chine (Qingdao) | Jusqu'à quelques dizaines de Gbps. | Jusqu'à quelques dizaines de Gbps. | ||||
Hors Chine continentale | Chine (Hong Kong), Singapour, Allemagne (Francfort), États-Unis (Silicon Valley), États-Unis (Virginie) et France (Paris) | Jusqu'à 100 Gbps à 200 Gbps. | Jusqu'au niveau du Tbps. | Jusqu'à 100 Gbps à 200 Gbps. | Jusqu'au niveau du Tbps. | |
Japon (Tokyo) | Jusqu'à quelques dizaines de Gbps. | Jusqu'au niveau du Tbps. | Jusqu'à quelques dizaines de Gbps. | Jusqu'au niveau du Tbps. | ||
Autres régions | Capacité d'atténuation limitée (inférieure à 10 Gbps). | Jusqu'au niveau du Tbps. | Capacité d'atténuation limitée (inférieure à 10 Gbps). | Jusqu'au niveau du Tbps. | ||
Premiers pas avec Anti-DDoS Native
Achetez une instance Anti-DDoS Native. Pour ajouter des actifs Anti-DDoS Advanced EIP, autorisez d'abord le rôle lié au service (SLR). Pour plus d'informations, consultez la rubrique Autorisation de protection (premier achat).
Ajoutez à l'instance, en tant qu'objets protégés, les actifs auxquels des adresses IP publiques sont attribuées. Pour plus d'informations, consultez la rubrique Objets protégés.
Configurez des politiques d'atténuation personnalisées en fonction des caractéristiques du trafic de votre service. Pour plus d'informations, consultez la rubrique https://www.alibabacloud.com/help/zh/anti-ddos/anti-ddos-origin/user-guide/protection-configuration/.
Consultez les données de surveillance du trafic de service. Pour plus d'informations, consultez la rubrique Business Monitoring.
Activez Mitigation Logs. Utilisez l'analyse d'atténuation pour interroger et analyser les journaux d'atténuation et afficher les rapports d'atténuation intégrés. Pour plus d'informations, consultez la rubrique Activer l'analyse d'atténuation.
Une fois que les actifs auxquels des adresses IP publiques sont attribuées sont attaqués, consultez les détails de l'événement d'attaque. Pour plus d'informations, consultez la rubrique Analyse des attaques.
Consultez les événements de mise en blackhole et de nettoyage. Pour plus d'informations, consultez la rubrique Event center.
FAQ
-
Quelle est la différence entre Anti-DDoS Native et Anti-DDoS Proxy ?
Dimension de comparaison
Anti-DDoS Native
Anti-DDoS Proxy
Positionnement principal
Protection améliorée pour les services cloud.
Protection indépendante de niveau professionnel.
Méthode d'accès
S'associe aux adresses IP publiques existantes. Aucun remplacement d'adresse IP n'est requis.
Achemine le trafic de service vers l'adresse IP d'une instance Anti-DDoS Proxy.
Capacité d'atténuation
Partagée au niveau de la région, avec une limite supérieure (niveau Gbps).
Ressources indépendantes, jusqu'au niveau du Tbps, avec un SLA plus élevé.
Scénarios applicables
Renforcez facilement et à moindre coût vos défenses de base.
Charges de travail critiques devant résister à des attaques à très grande échelle.
Coût
Relativement faible.
Relativement élevé.
-
Anti-DDoS Native peut-il se défendre contre les attaques CC (attaques de la couche application) ?
Non. Anti-DDoS Native atténue principalement les attaques volumétriques de couche 3 et de couche 4, telles que UDP Flood et SYN Flood.