Comment choisir un produit Anti-DDoS - Anti-DDoS - Centre de documentation Alibaba Cloud

Guide d'aide à la décision pour sélectionner le produit Anti-DDoS adapté à la protection de votre activité contre les attaques DDoS.

Ce guide vous aide à comprendre les concepts fondamentaux de la protection DDoS et à choisir le produit Anti-DDoS correspondant à votre scénario. Alibaba Cloud propose une gamme hiérarchisée de produits de protection DDoS pour sécuriser votre activité contre divers types d'attaques et garantir la continuité et la stabilité de vos services.

Concepts clés

Maîtrisez les concepts suivants pour prendre les bonnes décisions de sélection.

Termes principaux

Terme

Description

Attaque DDoS

Abréviation de Distributed Denial of Service (déni de service distribué). Il s'agit d'une méthode d'attaque courante en cybersécurité qui sature les ressources du réseau ou des équipements réseau par un trafic malveillant, empêchant le fonctionnement normal des sites web ou la fourniture des services en ligne. Pour plus d'informations, consultez Présentation des attaques DDoS.

Trou noir (Blackhole)

Mécanisme de nettoyage du trafic. Lorsque le trafic d'attaque ciblant une adresse IP dépasse sa capacité de protection de base, l'opérateur rejette tout le trafic vers cette IP (y compris le trafic légitime) afin de préserver la stabilité globale du réseau Alibaba Cloud. Cela entraîne une interruption totale de l'activité hébergée sur cette IP pendant une certaine période. L'achat d'Anti-DDoS Proxy offre une protection de capacité supérieure qui empêche votre IP de basculer en état de trou noir.

Nettoyage du trafic

Des algorithmes de détection et d'identification séparent le trafic d'attaque malveillant du trafic métier normal et le rejettent. Seul le trafic métier sain est renvoyé vers le serveur d'origine, garantissant ainsi la disponibilité du service.

Définitions des produits

Anti-DDoS Basic : service de protection de base gratuit fourni pour certains services Alibaba Cloud. Il protège contre les attaques de petite ampleur, mais sa capacité est limitée (de 500 Mbps à 5 Gbps). Lorsque le trafic d'attaque dépasse le seuil, l'IP ciblée bascule en état de trou noir, provoquant une interruption de l'activité.
Anti-DDoS Native : service de sécurité qui renforce directement la capacité de défense DDoS des services Alibaba Cloud. Son déploiement est simple et ne nécessite ni modification de l'architecture réseau ni changement des adresses IP métier. Il protège principalement contre les attaques DDoS volumétriques de couche 3 et de couche 4.
Anti-DDoS Proxy : service de protection basé sur un proxy qui achemine le trafic métier via la résolution DNS vers des centres de nettoyage mondiaux pour atténuation. Il masque efficacement les adresses IP des serveurs d'origine et offre une défense complète contre les attaques DDoS au niveau réseau, transport et application (y compris les attaques CC HTTP/HTTPS).

Détails de la stratégie de protection

Remarque

Pour une solution de sécurité personnalisée (par exemple, une capacité ultra-élevée ou une protection applicative UDP), contactez votre gestionnaire de compte.

Comparaison des produits

Critère	Anti-DDoS Basic	Anti-DDoS Native	Anti-DDoS Proxy
Scénarios applicables	Sensibilité aux coûts Services non critiques tolérant de brèves interruptions Attaques de faible ampleur	Grand nombre d'adresses IP ou de ports Bande passante métier élevée (par exemple, bande passante métier supérieure à 1 Gbps, requêtes par seconde (QPS) HTTP et HTTPS supérieures à 5 000) sans possibilité de modifier les adresses IP publiques Nécessite une latence ultra-faible pour assurer la continuité de l'activité lors d'attaques à fort trafic Attaques DDoS occasionnelles	Attaques fréquentes et campagnes d'attaque en évolution Nécessite une défense contre les attaques CC sophistiquées au niveau applicatif Nécessite la modification des adresses IP métier publiques
Facturation	Gratuit.	Abonnement (prépayé) : disponible en Anti-DDoS Native (PME) et Anti-DDoS Native (Entreprise). Pour plus de détails, consultez Anti-DDoS Native 2.0 (Abonnement). Remarque Produit cloud amélioré disponible uniquement pour l'offre Entreprise. Paiement à l'utilisation (postpayé) : pour plus de détails, consultez Détails du paiement à l'utilisation.	Frais d'instance (prépayés) : paiement mensuel ou annuel selon la bande passante de protection de base, la bande passante métier et les QPS sélectionnés. Frais de protection élastique (postpayés) : facturés quotidiennement en fonction des pics réels de trafic d'attaque uniquement lorsque le trafic d'attaque DDoS dépasse la bande passante de protection de base. Frais de bande passante/QPS métier élastique (postpayés) : facturés selon le 95e percentile quotidien ou mensuel uniquement lorsque le trafic métier normal ou les QPS dépassent la spécification de base. Plan de ressources de protection avancée : achat facultatif de plans de ressources de protection avancée pour des instances spécifiques. Pour plus d'informations, consultez Tarification d'Anti-DDoS Proxy.
Mécanisme principal	Intégré aux services cloud. Rejette automatiquement le trafic (trou noir) lorsque le trafic dépasse le seuil afin de garantir la stabilité du réseau du fournisseur cloud.	S'associe aux ressources cloud sans modifier les adresses IP métier. Nettoie le trafic lorsque les attaques dépassent le seuil.	Redirige le trafic vers des centres de nettoyage dédiés via la modification DNS. Tout le trafic est nettoyé avant transfert pour garantir la disponibilité du serveur d'origine.
Méthode d'accès	Activation automatique. Aucune action manuelle requise.	Associez les objets protégés dans la console.	Modifiez la résolution DNS pour diriger le trafic vers les adresses IP Premium.
Objets protégés	Sélectionnez des services Alibaba Cloud, notamment ECS, SLB, EIP, etc.	Produits cloud standard : Instances Elastic Compute Service (ECS), instances Server Load Balancer (SLB), adresses IP élastiques (EIP), EIP associées à une passerelle NAT, passerelles IPv6, Simple Application Server, instances Web Application Firewall (WAF), instances Global Accelerator (GA) et Anycast EIP.	Toute adresse IP publique.
Capacité de protection	Faible. Basée sur la défense dans le cloud, de 500 Mbps à 5 Gbps. Pour plus de détails, consultez Seuils déclenchant le filtrage Blackhole dans Anti-DDoS Basic.	Produits cloud standard : Modérée. Basée sur la défense dans le cloud, jusqu'à plusieurs centaines de Gbps. Produit cloud amélioré : Élevée. Basée sur les centres de nettoyage mondiaux d'Alibaba Cloud, avec une capacité d'atténuation dépassant 1 Tbps. Pour plus de détails, consultez Qu'est-ce qu'Anti-DDoS Native ?.	Élevée. Basée sur les centres de nettoyage mondiaux d'Alibaba Cloud, avec une capacité d'atténuation dépassant 1 Tbps.

Comparaison des types d'attaques DDoS pris en charge

Type d'attaque	Description	Anti-DDoS Native		Anti-DDoS Proxy
		Produits cloud standard	Produit cloud amélioré
Attaques DDoS de couche réseau	Comprend Frag Flood, Smurf, Stream Flood, Land Flood, paquets IP malformés, paquets TCP malformés, paquets UDP malformés, etc.	Pris en charge	Pris en charge	Pris en charge
Attaques DDoS de couche transport	Comprend SYN Flood, ACK Flood, UDP Flood, ICMP Flood, RST Flood, réflexion NTP, réflexion SSDP, réflexion DNS, etc.	Pris en charge	Pris en charge	Pris en charge
Attaques DDoS de couche application (HTTP/HTTPS)	Également appelées attaques Challenge Collapsar (CC) de couche application web. Comprend les attaques CC HTTP/HTTPS et les attaques à débit lent HTTP (LOIC/HOIC/Slowloris/Pyloris/XOIC) ciblant les services basés sur HTTP tels que les sites web, les endpoints API et WebSocket.	Non pris en charge	Non pris en charge	Pris en charge
Attaques DDoS de couche application (protocoles de couche application TCP non HTTP/HTTPS)	Également appelées attaques CC de couche application non web. Comprend les attaques CC TCP, les connexions TCP vides et les attaques par épuisement des ressources de connexion TCP ciblant les services TCP non HTTP tels que les protocoles privés, MySQL, MQTT et RTMP.	Non pris en charge	Pris en charge En aperçu public, actuellement pris en charge uniquement dans la région Chine (Hangzhou).	Pris en charge
Attaques DDoS de couche application (protocoles de couche application basés sur UDP)	Attaques CC ciblant les services basés sur UDP, telles que les attaques UDP-CC et DNS-Flood contre les services DNS faisant autorité, les services DNS faisant autorité, les services de jeux UDP et les services d'appel vocal UDP. La protection CC des activités UDP nécessite l'achat supplémentaire du service Managed Security Service ; sinon, elle n'est pas prise en charge.	Pris en charge Prend en charge le nettoyage des attaques DNS ciblant les services DNS ne faisant pas autorité. Pour protéger les services DNS faisant autorité, utilisez DNS Security.

Remarques sur l'efficacité de la protection

La solution de protection DDoS utilise un moteur d'IA intelligent qui apprend continuellement à partir des modèles de trafic métier normaux pour identifier avec précision les attaques en évolution.
Lorsqu'une activité subit des attaques DDoS ou CC immédiatement après son intégration, les attaques peuvent ne pas être entièrement atténuées durant la période initiale d'apprentissage de la ligne de base. Les configurations de protection suivantes permettent d'améliorer l'efficacité de la protection :
- Anti-DDoS Native :
  - Préconfigurez diverses stratégies de protection telles que la protection inline, la protection par port et la protection basée sur des déclencheurs pour améliorer l'efficacité de la protection. Pour plus d'informations, consultez Paramètres d'atténuation.
  - Ajustez le seuil de nettoyage en fonction de votre trafic métier. Pour plus d'informations, consultez Définir les seuils de nettoyage du trafic.
- Anti-DDoS Proxy :
  - Propose des politiques granulaires basées sur des scénarios métier. Pour plus d'informations, consultez Politiques spécifiques aux scénarios.
  - Appliquez des politiques de protection personnalisées basées sur la fréquence, adaptées aux caractéristiques de votre activité (par exemple, Configurer la protection contre les inondations HTTP).