Alibaba Cloud propose une capacité d'atténuation gratuite de 500 Mbit/s à 5 Gbit/s avec Anti-DDoS Basic pour certains services cloud. Anti-DDoS Basic protège contre les attaques DDoS courantes au niveau réseau et transport. Cette rubrique présente le service Anti-DDoS Basic.
Présentation du produit
Anti-DDoS Basic est un service de sécurité gratuit intégré à Alibaba Cloud. Il offre une atténuation DDoS gratuite pour les ressources disposant d'adresses IP publiques, telles que les instances Elastic Compute Service (ECS), les instances Server Load Balancer (SLB) et les adresses IP élastiques (EIP). Dès que vous louez un serveur sur Alibaba Cloud ou activez un service cloud doté d'une adresse IP publique, Anti-DDoS Basic s'active automatiquement. Le service assure la défense contre les attaques aux niveaux réseau et transport ainsi que le nettoyage du trafic, sans achat ni configuration supplémentaire. Anti-DDoS Basic est activé par défaut et ne peut pas être désactivé. La capacité d'atténuation DDoS gratuite varie de 500 Mbit/s à 5 Gbit/s. Pour connaître la capacité d'atténuation spécifique de chaque service cloud, consultez Afficher les seuils qui déclenchent le filtrage en trou noir dans Anti-DDoS Basic.
Si une ressource est fréquemment attaquée, la plateforme ajuste sa capacité d'atténuation en fonction de l'historique des attaques afin de maintenir la stabilité globale de la plateforme.
En temps normal, Anti-DDoS Basic n'affecte généralement pas votre accès standard. Toutefois, l'accès peut être impacté par les méthodes d'attaque (telles que les attaques HTTP_Flood, SYN_Flood et ACK_Flood), les vecteurs d'attaque et vos propres scénarios de service (par exemple, un trafic dépassant les spécifications de la plateforme ou du produit). Si Anti-DDoS Basic ne répond pas à vos besoins, optez pour des services de protection supérieurs tels qu'Anti-DDoS Native ou Anti-DDoS Proxy. Pour plus d'informations, consultez Qu'est-ce qu'Anti-DDoS Native ?, Qu'est-ce qu'Anti-DDoS Proxy ? et Comment choisir un produit Anti-DDoS.
Fonctionnement
Anti-DDoS Basic applique un seuil de nettoyage par défaut, mais vous pouvez également configurer un seuil personnalisé. Lorsque les conditions de nettoyage du trafic sont remplies, Anti-DDoS Basic filtre et nettoie tout le trafic provenant d'Internet. Cette mesure permet de se défendre contre les attaques courantes aux niveaux réseau et transport, telles que les attaques par réflexion UDP et les attaques SYN/ACK Flood. En revanche, Anti-DDoS Basic ne protège pas contre les attaques au niveau application, comme les attaques HTTP Flood et les attaques CC.
Anti-DDoS Basic utilise deux méthodes pour déterminer quand déclencher le nettoyage du trafic : les seuils de nettoyage BPS/PPS que vous configurez et une analyse intelligente basée sur l'IA. En tirant parti des capacités de big data d'Alibaba Cloud, le système apprend la ligne de base du trafic de votre service et utilise des algorithmes pour identifier les modèles d'attaque. Le nettoyage du trafic n'est déclenché que lorsque l'analyse IA détecte une attaque DDoS et que le trafic entrant dépasse votre seuil BPS ou PPS configuré. Ce mécanisme de double vérification aide à prévenir les faux positifs, qui peuvent survenir si un pic de trafic normal dépasse un seuil fixe.
Si le trafic entrant dépasse la capacité d'atténuation (le seuil de déclenchement du trou noir), le service cloud est ajouté à un trou noir. Cette mesure empêche une attaque DDoS de causer des dommages plus importants au service cloud et évite qu'une attaque ciblant un service cloud n'affecte le fonctionnement normal d'autres ressources. Dans un trou noir, Alibaba Cloud bloque temporairement le trafic Internet entrant du service cloud. Pour plus d'informations, consultez Politique de filtrage en trou noir d'Alibaba Cloud.
Services cloud pris en charge
Instances Elastic Compute Service (ECS), instances Server Load Balancer (SLB), adresses IP élastiques (EIP), EIP associées à une passerelle NAT, passerelles IPv6, serveurs d'applications simples, instances Web Application Firewall (WAF), instances Global Accelerator (GA) et EIP Anycast.
Régions prises en charge
Le tableau suivant répertorie les régions prises en charge par Anti-DDoS Basic.
Zone | Région |
Asie-Pacifique | Thaïlande (Bangkok), Philippines (Manille), Japon (Tokyo), Indonésie (Jakarta), Malaisie (Kuala Lumpur), Corée du Sud (Séoul), Singapour, Chine (Hong Kong), Chine (Chengdu), Chine (Guangzhou), Chine (Heyuan), Chine (Shenzhen), Chine (Ulanqab), Chine (Hohhot), Chine (Zhangjiakou), Chine (Pékin), Chine (Qingdao), Chine (Shanghai), Chine (Hangzhou) |
Europe et Amériques | Royaume-Uni (Londres), Allemagne (Francfort), États-Unis (Virginie) et États-Unis (Silicon Valley) |
Moyen-Orient | Arabie saoudite (Riyad) et Émirats arabes unis (Dubaï) |
Termes
Attaques au niveau réseau : Les types courants incluent les attaques par réflexion UDP, les attaques SYN Flood à haut volume, les attaques ACK Flood et les paquets malformés non conformes au protocole IP. Ces attaques consomment les ressources de bande passante du serveur pour provoquer un déni de service.
Attaques au niveau application : Les types courants incluent les attaques HTTP Flood, les attaques CC et les attaques DNS Flood. Il s'agit d'attaques par épuisement basées sur les caractéristiques du service. Elles consomment la capacité de traitement du serveur pour provoquer un déni de service.
FAQ
-
Pourquoi mon instance est-elle la cible d'attaques DDoS ?
Les attaques DDoS, telles que les attaques volumétriques, constituent un comportement malveillant courant sur Internet. Les attaquants contrôlent de vastes botnets et envoient d'énormes volumes de trafic malveillant vers une cible pour épuiser ses ressources de bande passante, empêchant ainsi les utilisateurs légitimes d'y accéder.
Toute ressource IP exposée à Internet peut devenir la cible d'une attaque DDoS. Les attaques DDoS ne visent pas uniquement des utilisateurs ou des services spécifiques. Les raisons courantes d'une attaque DDoS incluent :
Votre service possède une forte visibilité sur Internet et est facile à trouver pour les attaquants.
Attaques ciblées motivées par la concurrence sectorielle ou des représailles malveillantes.
L'adresse IP de votre serveur est balayée aléatoirement par des attaquants et ajoutée à une liste d'attaque.
Anti-DDoS Basic détecte automatiquement le trafic inhabituel et lance le nettoyage du trafic pour filtrer le trafic d'attaque et protéger l'accès normal au service. Si le trafic d'attaque dépasse la capacité d'atténuation d'Anti-DDoS Basic, passez à Anti-DDoS Native ou Anti-DDoS Proxy pour bénéficier d'un niveau de protection supérieur.
-
Anti-DDoS Basic bloque-t-il les paquets et le trafic UDP ?
Par défaut, Anti-DDoS Basic bloque les paquets UDP de taille excessive et le trafic UDP fragmenté. Étant donné que les attaques par réflexion UDP utilisent généralement des paquets volumineux ou fragmentés pour amplifier le trafic d'attaque, Anti-DDoS Basic peut efficacement se défendre contre ces attaques en filtrant et en bloquant ce type de trafic.
Toutefois, ce mécanisme de blocage peut affecter les services normaux qui dépendent de grands paquets UDP ou de la transmission UDP fragmentée. Par exemple, si le trafic UDP volumineux ou fragmenté est bloqué, un service de vidéosurveillance utilisant le protocole GB28181 pour la mise en cascade conforme aux normes nationales peut rencontrer des problèmes tels que des échecs de mise en cascade ou des interruptions de flux vidéo.
Si votre service doit utiliser de grands paquets UDP ou du trafic UDP fragmenté, passez à un service d'atténuation avancé prenant en charge une politique de protection UDP personnalisée, tel qu'Anti-DDoS Proxy. Cela évite que le trafic de service légitime ne soit bloqué par erreur. Pour plus d'informations, consultez Qu'est-ce qu'Anti-DDoS Native ?.
Références
Le seuil de nettoyage maximal pris en charge par chaque service cloud dépend des spécifications de l'instance de service cloud. Pour plus d'informations, consultez Spécifications des services cloud et seuils de nettoyage.
Pour savoir comment configurer un seuil de nettoyage, consultez Configurer les seuils de nettoyage du trafic.