Impact et solutions pour les attaques par nom de domaine ou le vol de trafic - CDN

Des attaques malveillantes ou un vol de trafic peuvent provoquer des pics soudains de bande passante ou de trafic, entraînant une facturation inattendue. Vous êtes responsable des frais engendrés. Cette rubrique explique comment atténuer ces risques et maîtriser vos coûts.

Risque potentiel : facturation élevée due à un accès malveillant

Lors d'une attaque, les ressources de bande passante CDNDCDN sont consommées. Par conséquent, vous devez payer les frais de trafic et de bande passante qui en résultent.
Une augmentation soudaine de votre bande passante causée par une consommation malveillante de trafic s'apparente à une attaque. Étant donné que cette activité consomme les ressources de bande passante de CDN or DCDN, vous devez payer les frais de trafic et de bande passante générés.

Risque associé : la facture peut dépasser le solde de votre compte

Les attaques malveillantes ou le vol de trafic peuvent facilement entraîner des factures élevées, qui dépassent souvent le solde de votre compte.

CDN and DCDN sont des services facturés à l'utilisation. Le montant des factures dépend de facteurs tels que le cycle de facturation (par exemple, horaire, quotidien ou mensuel) et les délais de traitement des factures. Pour Alibaba Cloud CDN and DCDN, les factures sont générées avec un délai de 3 à 4 heures. Par conséquent, les services ne peuvent pas être suspendus immédiatement lorsque le solde de votre compte atteint zéro. Cela peut entraîner un impayé, ou le montant impayé d'une seule facture peut dépasser votre limite de crédit pour la suspension de service.

Alibaba Cloud propose une fonctionnalité de protection contre la suspension de service. Si vous activez ce service et que votre compte présente un paiement en retard, Alibaba Cloud accorde un crédit ou une période de grâce en fonction de facteurs tels que votre niveau client et votre historique de dépenses. Cela vous permet de continuer à utiliser les services cloud pendant une durée limitée. La limite de crédit est calculée et mise à jour automatiquement chaque mois.

Stratégies d'atténuation

Les produits Alibaba Cloud CDNDCDN ne fournissent pas de capacités de contrôle d'accès ou de protection de sécurité par défaut. Alibaba Cloud CDNDCDN détecte les augmentations soudaines de la bande passante des clients. Si un trafic anormal est détecté, Alibaba Cloud évalue s'il convient d'appliquer des mesures telles que la limitation du trafic ou la mise en bac à sable (sandboxing) au pic de trafic, en fonction du volume de trafic commercial normal du client et de la charge globale du trafic anormal, afin de garantir la stabilité du réseau pour tous les utilisateurs. (La limitation du trafic ou la mise en bac à sable n'est pas toujours déclenchée. Pour plus d'informations, consultez la section « Règles de limitation de la bande passante/QPS en cas de pic » dans Limites d'utilisation.) Alibaba Cloud n'est pas responsable des problèmes de disponibilité résultant de ces mesures.
Pour assurer le fonctionnement stable de vos services et éviter des factures élevées, nous vous recommandons d'activer les fonctionnalités de protection et les configurations de contrôle d'accès décrites dans cette rubrique.

Activer le contrôle d'accès

Si vous constatez un pic soudain de trafic, analysez d'abord vos journaux en temps réel pour en déterminer la cause. Pour plus d'informations, consultez la section Configurer la livraison des journaux en temps réel pour CDN et pour DCDN. En fonction de vos constatations, configurez les fonctionnalités de contrôle d'accès appropriées dans la console pour empêcher la consommation inutile de trafic et de bande passante.

Fonctionnalité de contrôle d'accès

Description

Configurer une liste noire ou blanche de referers

Cette fonctionnalité empêche le hotlinking en autorisant ou en bloquant les requêtes en fonction de leur en-tête Referer. Vous pouvez configurer une liste blanche pour n'autoriser que les requêtes provenant de referers correspondants ou une liste noire pour les bloquer. Pour obtenir des instructions de configuration, consultez la section Configurer une liste noire ou blanche de referers pour CDN et pour DCDN.

Configurer la signature d'URL

La fonctionnalité de signature d'URL offre un moyen sécurisé et fiable d'empêcher le hotlinking des ressources en coordonnant les points de présence (POP) Alibaba Cloud CDNDCDN avec votre serveur d'origine. Consultez la section Configurer la signature d'URL pour configurer des règles répondant à vos besoins métier.

Configurer l'authentification distante

La fonctionnalité d'authentification distante transfère les requêtes des utilisateurs vers votre serveur d'authentification spécifié via les points de présence (POP) Alibaba Cloud CDN / DCDN. Le serveur d'authentification valide ensuite les requêtes pour empêcher strictement les utilisateurs non autorisés d'accéder à vos ressources. Suivez les instructions de la section Configurer l'authentification distante pour configurer des règles spécifiques à vos besoins métier.

Configurer une liste noire ou blanche d'adresses IP

Après une attaque malveillante ou un pic de trafic, analysez vos journaux en temps réel, configurés via , pour identifier les adresses IP présentant une fréquence d'accès élevée. Si vous identifiez des adresses IP malveillantes, utilisez la fonctionnalité de liste noire ou blanche d'adresses IP pour les bloquer. Pour plus d'informations, consultez la section Configurer une liste noire ou blanche d'adresses IP pour CDN et pour DCDN.

Configurer une liste noire ou blanche User-Agent

Après une attaque malveillante ou un pic de trafic, analysez vos journaux en temps réel, configurés via , pour vérifier si l'activité malveillante provient d'User-Agents spécifiques. Si vous identifiez un User-Agent malveillant, utilisez la fonctionnalité de liste noire ou blanche User-Agent pour bloquer ces requêtes. Pour plus d'informations, consultez la section Configurer une liste noire ou blanche User-Agent pour CDN et pour DCDN.

Activer la gestion du trafic

Utilisez CloudMonitor pour définir des règles de surveillance de la bande passante au niveau du produit ou du domaine afin de suivre votre utilisation du trafic et de la bande passante, et recevoir des alertes en cas d'anomalie. Pour plus d'informations, consultez la section Configurer des règles d'alerte. Si vous rencontrez des pics de bande passante inattendus, vous pouvez également configurer des politiques telles que la limitation de la bande passante et la limitation du trafic pour votre domaine.

Fonctionnalité de gestion du trafic	Description
Définir une limite de bande passante	Si vous souhaitez limiter la bande passante maximale pour un nom de domaine, utilisez la fonctionnalité Bandwidth Cap. Une fois le seuil de bande passante configuré atteint, CDN cesse de fournir des services d'accélération pour le nom de domaine et le résout vers une adresse invalide pour vous aider à éviter des factures élevées. Pour plus d'informations, consultez la section Limite de bande passante.
Définir la limitation du trafic pour les requêtes individuelles	La fonctionnalité de limitation du trafic pour les requêtes individuelles limite la vitesse descendante à laquelle les POP CDN servent le contenu aux utilisateurs. Cette fonctionnalité est souvent utilisée pour gérer le trafic lors d'événements promotionnels, tels que le lancement d'un nouveau jeu, en contrôlant la bande passante de pointe du domaine accéléré sur l'ensemble du réseau. Pour plus d'informations, consultez la section Configurer la limitation du trafic pour les requêtes individuelles.
Définir la limitation de la bande passante	Si vous devez limiter la bande passante pour un nom de domaine utilisant Alibaba Cloud CDN/, et que votre bande passante de pointe quotidienne est supérieure à 10 Gbit/s, vous pouvez soumettre un ticket pour demander une configuration backend. Important La limite de limitation de la bande passante s'applique à la bande passante totale d'un domaine accéléré sur l'ensemble du réseau. Pour garantir la précision, la limite doit être d'au moins 10 Gbit/s. Lorsque la limite de bande passante (par exemple, 10 Gbit/s) est atteinte, CDN applique une limitation au nom de domaine accéléré. Cela ralentit les vitesses d'accès des utilisateurs (car la vitesse de chaque requête est réduite) et peut également entraîner une perte de paquets. La limitation de la bande passante est déclenchée sur la base des données de surveillance en temps réel, qui présentent un délai d'environ 10 minutes. Par conséquent, la limitation peut ne commencer qu'après que la bande passante du domaine a déjà dépassé la limite.
Configurer la surveillance en temps réel	Si vous souhaitez surveiller la bande passante de pointe d'un nom de domaine en temps réel, utilisez la fonctionnalité Cloud Product Monitoring de CloudMonitor pour configurer la surveillance de la bande passante de pointe d'un nom de domaine spécifié pour CDN or . Lorsque la bande passante de pointe configurée est atteinte, une alerte (SMS, e-mail ou DingTalk) est envoyée à l'administrateur, ce qui vous aide à détecter les risques potentiels plus rapidement. Pour plus d'informations, consultez la page de détails du produit CloudMonitor.
Configurer des alertes de dépenses et de coûts	Dans la barre de navigation supérieure de la console, choisissez Expenses > Expenses and Costs. Configurez les fonctionnalités suivantes pour mieux contrôler les dépenses de votre compte et éviter des factures élevées. Alerte de solde faible : vous pouvez configurer une alerte envoyée par SMS lorsque le solde de votre compte descend en dessous d'un montant spécifié. Alerte de facture élevée : vous pouvez activer une alerte qui envoie une notification SMS si une facture quotidienne pour un produit dépasse un seuil spécifié. Remarque Pour garantir l'exhaustivité des données de comptage et l'exactitude des factures, les produits CDN and nécessitent environ 3 heures après la fin d'un cycle de facturation pour générer une facture finale. Par conséquent, il existe un délai entre le moment de la consommation des ressources et la déduction effective du paiement, et les factures ne peuvent pas fournir de retour d'information en temps réel sur l'utilisation des ressources. Cela est déterminé par la nature distribuée des points de présence (POP) CDN and . Tous les fournisseurs de services CDN and utilisent une méthode similaire.

Activer les fonctionnalités de protection

Si les fonctionnalités de contrôle d'accès et de gestion du trafic ne répondent pas à vos besoins de sécurité, nous vous recommandons d'activer Edge Security Acceleration (ESA). ESA fournit des capacités de sécurité complètes, notamment une protection native contre les attaques DDoS et un pare-feu d'application web (WAF) natif. Il utilise les algorithmes propriétaires d'apprentissage automatique d'Alibaba Cloud pour détecter les menaces dans chaque requête, offrant une protection de bout en bout pour vos services. Pour plus d'informations, consultez les sections Protection de sécurité ESA et Comparaison des fonctionnalités de CDN, DCDN et ESA.

Type d'attaque

Aperçu

Mesures de protection

Attaques DDoS

Les attaques au niveau de l'application incluent les inondations HTTP GET, les inondations HTTP POST et les attaques Challenge Collapsar (CC).

Ces attaques imitent les requêtes d'utilisateurs légitimes, telles que celles des moteurs de recherche et des robots d'indexation web, ce qui les rend difficiles à distinguer du trafic normal.

Ces attaques ciblent souvent des opérations gourmandes en ressources sur un serveur web, telles que les requêtes de base de données ou le rendu de pages. En effectuant un grand nombre de requêtes simultanées pour ces opérations, les attaquants peuvent submerger les services web.

Les attaques modernes sont souvent hybrides. Toute action utilisateur fréquente et simulée, telle que celles provenant de scripts de vote automatisés, peut être considérée comme une attaque CC.

Les attaques CC ciblent le backend des applications web, entraînant non seulement un déni de service, mais aussi une dégradation des performances, y compris les temps de réponse web, les services de base de données et les E/S disque.

Edge Security Acceleration (ESA) intègre par défaut les capacités de protection DDoS, en utilisant un système de défense en couches pour atténuer rapidement l'impact des attaques, réduire considérablement les temps d'arrêt des activités et garantir la disponibilité de votre site web pendant une attaque. ESA fournit une protection DDoS par défaut. Selon votre plan d'abonnement, ESA offre différents niveaux de protection DDoS pour réduire les temps d'arrêt des services et garantir que votre site web puisse reprendre son fonctionnement normal dès que possible.

Vol de trafic

Le vol de trafic implique souvent des requêtes à haute fréquence provenant d'une seule adresse IP ou des attaques par requêtes lentes à grande échelle.
Ces attaques sont identifiées en analysant les modèles de trafic, tels que les codes de réponse, les distributions de requêtes URL et les caractéristiques anormales de Referer ou User-Agent.

Les puissantes capacités de pare-feu d'application web (WAF) d'ESA empêchent les intrusions malveillantes dans vos serveurs web, protègent les données métier principales et résolvent les problèmes de performance du serveur causés par les attaques.
Le Quick Start d'ESA prend en charge à la fois le Smart Mode et le Professional Mode. Vous pouvez utiliser le Smart Mode pour configurer rapidement la gestion des bots pour votre site, tandis que le Professional Mode offre des règles plus précises pour affiner la protection de votre site web ou de votre application.
La fonctionnalité security analytics d'ESA affiche les données sur les requêtes bloquées ou surveillées par les fonctionnalités WAF et de gestion des bots, ainsi que le nombre total de requêtes. Cela vous permet d'identifier rapidement les risques et d'ajuster vos stratégies de protection.

Rubriques connexes

Pour plus d'informations sur les problèmes et solutions liés à la sécurité, consultez la section FAQ sur la protection de sécurité.