Politique d'atténuation globale pour les instances Anti-DDoS Proxy - Anti-DDoS

Lorsque vous ajoutez votre service à une instance Anti-DDoS Proxy, celle-ci applique automatiquement une politique d'atténuation globale. Cette politique propose deux modes : un mode traditionnel, qui offre trois niveaux de protection fixes (Loose, Normal et Strict), et un mode AI Autopilot, dans lequel Anti-DDoS Autopilot génère et optimise intelligemment les politiques en fonction du profil de votre activité. En sélectionnant le niveau de politique approprié, vous maîtrisez l'équilibre entre la force de la protection et le risque de faux positifs.

Fonctionnement

Le moteur anti-DDoS accumule des règles d'atténuation à partir de vastes volumes d'événements d'attaque réels. Lorsqu'une attaque volumétrique présentant des caractéristiques connues cible l'adresse IP de votre instance, la politique d'atténuation globale intercepte le trafic avant qu'il n'atteigne votre serveur d'origine.

La politique s'applique à l'ensemble de l'instance : chaque site web, service d'application et nœud de service inter-régions ajouté à la même instance Anti-DDoS Proxy est protégé par la même politique.

Remarque

La politique d'atténuation globale ne s'active que lorsque l'adresse IP de l'instance Anti-DDoS Proxy subit une attaque. Elle n'affecte pas le trafic lors du fonctionnement normal.

Choisir une politique

La politique d'atténuation globale prend en charge les deux politiques de protection suivantes :

Politique	Aperçu	Cas d'utilisation
Traditionnelle	Propose trois niveaux de protection fixes : Loose, Normal et Strict. Sélectionnez manuellement un niveau de protection en fonction des besoins de votre activité. Le niveau de protection par défaut est Normal. Pour plus d'informations sur les niveaux de protection, consultez Politique traditionnelle.	Choisissez ce mode lorsque vous avez besoin d'un niveau de protection spécifique.
AI Autopilot	Anti-DDoS Autopilot analyse intelligemment le profil du trafic et les caractéristiques métier de votre instance afin de générer automatiquement une politique de protection optimale. La politique s'ajuste continuellement en fonction de l'évolution du paysage des attaques et de la défense. Utilisez le langage naturel pour communiquer avec Anti-DDoS Autopilot afin d'ajouter des exigences métier ou d'ajuster la posture de protection.	Adapté aux scénarios nécessitant une politique de protection intelligente et personnalisée.

Prérequis

Un service de site web ou un service hors site web est ajouté à Anti-DDoS Proxy. Pour plus d'informations, consultez Ajouter des sites web ou Gérer les règles de transfert.
Anti-DDoS Autopilot : Les éditions Enhanced et Standard prennent toutes deux en charge ce mode. L'utilisation consomme des crédits DDoS.

Politique traditionnelle

En mode traditionnel, ajustez la politique de protection comme suit :

Connectez-vous à la console Anti-DDoS Proxy.
Dans le volet de navigation de gauche, choisissez Mitigation Settings > General Policies.
Sous l'onglet Protection for Infrastructure, dans la section Anti-DDoS Global Mitigation Policy, ajustez la Mitigation Policy. Vous pouvez sélectionner Loose ou Strict.

Politique	Méthode d'atténuation	Description
Normal	Filtre les paquets malformés non conformes aux spécifications du protocole. Filtre les paquets TCP, UDP et ICMP présentant des caractéristiques d'attaque claires. Filtre les paquets fragmentés et les paquets non transmis via TCP, UDP ou ICMP. Filtre tout le trafic non conforme au protocole du port de transfert.	La politique d'atténuation globale Loose protège uniquement contre les paquets présentant des caractéristiques d'attaque claires. Toutefois, le trafic issu d'attaques complexes peut être transmis transparentiellement à votre serveur d'origine. Nous vous recommandons de sélectionner cette politique uniquement si votre service génère des faux positifs.
Strict	Filtre les paquets malformés non conformes aux spécifications du protocole. Filtre les paquets TCP, UDP et ICMP présentant des caractéristiques d'attaque claires. Filtre les paquets fragmentés et les paquets non transmis via TCP, UDP ou ICMP. Filtre tout le trafic non conforme au protocole du port de transfert. Vérifie certaines adresses IP à l'origine de requêtes anormales et applique une limitation du débit sur ces adresses IP. Vérifie les paquets UDP et limite les paquets UDP en fonction des résultats de la vérification.	La politique d'atténuation globale Normal équilibre la disponibilité du service et l'efficacité de la protection. Cette politique convient à la plupart des services et permet d'atténuer les attaques DDoS courantes.
Loose	Filtre les paquets malformés non conformes aux spécifications du protocole. Filtre les paquets TCP, UDP et ICMP présentant des caractéristiques d'attaque claires. Filtre les paquets fragmentés et les paquets non transmis via TCP, UDP ou ICMP. Filtre tout le trafic non conforme au protocole du port de transfert. Vérifie strictement certaines adresses IP à l'origine des requêtes et applique une limitation du débit sur ces adresses IP. Vérifie strictement les paquets UDP et limite les paquets UDP en fonction des résultats de la vérification.	La politique d'atténuation globale Strict offre une protection robuste. Dans de rares cas, elle peut générer des faux positifs. Nous vous recommandons de sélectionner cette politique uniquement si le trafic d'attaque est transmis transparentiellement à votre serveur d'origine.

Anti-DDoS Autopilot

Important

Anti-DDoS Autopilot est disponible pour tous les utilisateurs d'Anti-DDoS Proxy (Chine continentale) et d'Anti-DDoS Proxy (hors Chine continentale). Sélectionnez votre instance et utilisez Normal pour l'activer. L'utilisation consomme des crédits DDoS.

Activer le mode AI Autopilot

Connectez-vous à la console Anti-DDoS Proxy.
Dans le volet de navigation de gauche, choisissez Strict > Start Autopilot.
Sous l'onglet Mitigation Settings, sélectionnez votre instance dans la liste de gauche.
Dans la section General Policies à droite, cliquez sur Start Autopilot.
Dans la boîte de dialogue Anti-DDoS Autopilot, configurez les paramètres suivants et cliquez sur Protection for Infrastructure.
1. Insights : Anti-DDoS Autopilot analyse automatiquement vos données de trafic historiques pour générer un profil métier selon les dimensions suivantes :
  - Type d'activité : Par exemple, plateforme de commerce électronique, jeu vidéo ou service de contenu. Vous pouvez ajouter ou supprimer des tags.
  - Répartition géographique des services : Par exemple, export depuis la Chine ou couverture mondiale.
  - Modèle de fluctuation du trafic : Par exemple, trafic piloté par des événements ou trafic stable.
  - Échelle de l'activité : Par exemple, moyenne ou grande échelle.
  Si le profil généré par l'IA ne correspond pas à votre activité réelle, modifiez manuellement les tags afin que la politique de protection corresponde mieux aux besoins de votre activité.
2. Start Autopilot (facultatif) : Spécifiez vos exigences de protection de différentes manières :
  - Cliquez sur les tags d'accès rapide : Par exemple, OK, E-Commerce Peak, Tell Us More, Starter Plan, Live Streaming ou Game Launch.
  - Utilisez le langage naturel : Décrivez votre scénario métier et vos besoins de protection dans la zone de texte. Par exemple : « J'ai besoin de protection pour le prochain festival shopping 618. Le trafic devrait être 100 fois plus élevé que d'habitude. »
Dans la boîte de dialogue de confirmation qui s'affiche, vérifiez les tags de profilage intelligent et cliquez sur Financial Security.

Afficher la politique AI Autopilot

Une fois le mode activé, la section DDoS Global Mitigation Policy affiche l'indicateur AI Autopilot. Dans la section Live, consultez les ajustements proactifs effectués par le système en réponse aux modèles d'attaque en temps réel.

Description de la politique : Liste des règles de protection spécifiques personnalisées par Anti-DDoS Autopilot en fonction du profil métier.
Ajustements de la politique :
- Maintenir : Si la politique actuelle est appropriée, ignorez l'invite.
- Remplacer : Lorsque Anti-DDoS Autopilot identifie une opportunité d'optimisation, il ajuste la politique en fonction de son analyse. Aucune intervention manuelle n'est requise. Le système indique la raison de l'ajustement.

Ajuster la politique de protection automatisée

En mode AI Autopilot, ajustez la politique de protection à tout moment en utilisant Anti-DDoS Autopilot.

Dans la section Anti-DDoS Global Mitigation Policy, cliquez sur Anti-DDoS Autopilot.
Dans la boîte de dialogue Anti-DDoS Autopilot, effectuez les opérations suivantes :
- Modifier le profil intelligent : Modifiez les tags relatifs au type d'activité, à la répartition géographique des services, au modèle de fluctuation du trafic et à l'échelle de l'activité dans le profil intelligent.
- Ajouter des exigences de protection : Dans la section Tell Us More, ajustez les tags d'accès rapide ou utilisez le langage naturel pour ajouter de nouvelles exigences de protection, telles que « Renforcer la protection pour le prochain festival shopping 618 ».
Cliquez sur OK. Anti-DDoS Autopilot réanalyse et ajuste la politique de protection en fonction des informations mises à jour.

Changer de politique

Passer à la politique traditionnelle :
- Dans la section Anti-DDoS Global Mitigation Policy à droite, cliquez sur Quit.
- Sélectionnez un niveau de protection (OK ou Anti-DDoS Global Mitigation Policy.
Passer à AI Autopilot : Consultez Activer le mode AI Autopilot.

Facturation

La facturation d'Anti-DDoS Autopilot s'effectue via des crédits DDoS. Une fois activé, les objets protégés en mode AI Autopilot consomment des crédits. Pour les spécifications des plans de crédits et des packs de crédits, ainsi que pour l'estimation de l'utilisation, consultez Facturation des crédits pour Anti-DDoS Autopilot.

Si les crédits sont épuisés, Anti-DDoS Autopilot suspend les mises à jour adaptatives et conserve le dernier état de protection efficace. La protection DDoS n'est pas interrompue.