Lorsqu'une attaque DDoS dépasse la capacité d'atténuation d'une ressource Alibaba Cloud, Alibaba Cloud active un blackhole pour bloquer temporairement tout le trafic Internet vers cette ressource. Cette mesure prévient d'autres dommages mais interrompt la communication normale. Découvrez comment prévenir et gérer les mises en blackhole.
Capacité de la protection Basic DDoS
Certaines ressources disposant d'une adresse IP publique sur Alibaba Cloud incluent gratuitement la protection Basic DDoS, avec des capacités allant de 500 Mbps à 5 Gbps. La capacité de protection spécifique dépend de la région et des spécifications de la ressource. Pour plus d'informations, consultez les pages Spécifications des services cloud et seuils de nettoyage et Configurer les seuils de nettoyage du trafic.
Si votre trafic de service normal (en bps) dépasse le seuil de blackhole, mettez à niveau les spécifications de votre ressource. Sinon, votre trafic pourrait être signalé comme anormal et déclencher une mise en blackhole.
Une capacité de protection DDoS plus élevée réduit le risque de blackhole. La prévention la plus efficace consiste à augmenter la capacité de protection de votre ressource, ce qui relève également le seuil de blackhole.
Afficher l'état de la ressource, le trafic et les adresses IP d'attaque
Connectez-vous à la console Traffic Security.
-
Consultez l'état de votre ressource.
Dans le coin supérieur gauche de la page Assets, sélectionnez la région où se trouve votre ressource dotée d'une adresse IP publique, puis cliquez sur l'onglet correspondant à la ressource.
Dans la liste des ressources, vérifiez si le champ IP Status indique Blackholed.
-
Examinez le trafic de la ressource et les adresses IP d'attaque.
Sur la page Event Center, consultez les événements de blackhole ou de nettoyage du trafic. Vous pouvez également cliquer sur View Details pour voir le débit du trafic entrant en bps et en paquets par seconde (pps).
Dans le coin supérieur droit de la page, cliquez sur Download. Utilisez un outil tel que Wireshark pour ouvrir la capture de paquets téléchargée et identifier les adresses IP d'attaque.
Suppression automatique du blackhole
Par défaut, un blackhole est supprimé après 2,5 heures. La durée réelle varie de 30 minutes à 24 heures (voire plus dans de rares cas), selon la fréquence des attaques. Facteurs clés :
Continuité de l'attaque : Si l'attaque persiste, la durée du blackhole est prolongée. Le compte à rebours de suppression redémarre à chaque prolongation.
Fréquence des attaques : Les premières attaques déclenchent des durées de blackhole plus courtes. Les ressources fréquemment attaquées sont considérées comme à haut risque et se voient attribuer des durées plus longues.
Pour les ressources fréquemment mises en blackhole, Alibaba Cloud peut prolonger la durée du blackhole et abaisser le seuil. L'heure réelle de suppression apparaît dans la notification d'événement de sécurité.
Supprimer un blackhole
Alibaba Cloud surveille continuellement l'attaque pendant la période de blackhole. Une fois l'attaque atténuée, le blackhole est automatiquement supprimé et l'accès Internet est rétabli. Pour restaurer le service de toute urgence, souscrivez à un produit commercial de protection DDoS afin de supprimer manuellement le blackhole.
Sans produit commercial de protection DDoS
La suppression manuelle n'est pas prise en charge. Attendez l'expiration du blackhole pour une restauration automatique. Pour restaurer le service rapidement ou accéder aux fichiers du serveur, consultez la rubrique Comment restaurer rapidement les services après la mise en blackhole d'une instance ECS.
La modification ou la libération fréquente des adresses IP publiques des ressources attaquées (ECS, EIP, SLB ou Simple Application Server) peut affecter d'autres locataires et entraîner des restrictions au niveau de la plateforme.
Après avoir modifié l'adresse IP publique d'une ressource ou déplacé votre service vers un nouveau serveur, les attaquants peuvent toujours découvrir la nouvelle adresse IP, par exemple en effectuant un ping sur votre domaine. Pour résoudre la cause racine, souscrivez à Anti-DDoS Native ou à Anti-DDoS Proxy.
Avec un produit commercial de protection DDoS
Vous pouvez attendre la suppression automatique ou supprimer le blackhole manuellement. La suppression manuelle n'arrête pas l'attaque ; elle permet uniquement de gagner du temps pour déployer un plan de défense. Si l'attaque se poursuit après la suppression manuelle, la ressource risque d'être à nouveau mise en blackhole.
|
Produit de protection DDoS |
Méthode de suppression manuelle |
Description |
|
Anti-DDoS Native |
|
Les suppressions manuelles sont limitées chaque mois, généralement à un nombre non inférieur au nombre d'adresses IP protégées dans votre abonnement. |
|
Anti-DDoS Proxy (Chine continentale) |
|
|
|
Anti-DDoS Proxy (hors Chine continentale) |
Aucune suppression manuelle n'est requise. |
Contrairement aux instances Anti-DDoS Proxy (Chine continentale) qui disposent d'une bande passante de protection fixe, Anti-DDoS Proxy (hors Chine continentale) offre une protection élastique sans limite supérieure, rendant la suppression manuelle généralement inutile. |
Sélectionner un produit de protection DDoS
Anti-DDoS Native : Améliore directement l'atténuation des attaques DDoS pour vos ressources Alibaba Cloud. Ne nécessite aucune modification de l'architecture réseau et n'impose aucune limitation sur les ports de couche 4 ou les domaines de couche 7. Associez l'adresse IP de votre ressource à une instance Anti-DDoS Native pour activer la protection.
Anti-DDoS Proxy : Service basé sur un proxy qui protège contre les attaques DDoS volumétriques et par épuisement des ressources. Protège les serveurs hébergés sur Alibaba Cloud, sur site ou dans d'autres clouds. Redirige le trafic d'attaque vers des centres de nettoyage via la résolution DNS, ne transférant que le trafic propre vers votre serveur d'origine.
Conseils de sélection et facturation : consultez les rubriques Sélectionner un produit de protection DDoS, Facturation d'Anti-DDoS Native et Facturation d'Anti-DDoS Proxy.