Chaque adresse IP publique bénéficie d'un nettoyage DDoS gratuit jusqu'à 5 Gbit/s. Pour une protection renforcée, utilisez Anti-DDoS Origin ou Anti-DDoS Pro et Anti-DDoS Premium.
Risques de sécurité
Lors d'une attaque par déni de service distribué (DDoS), des attaquants utilisent de nombreux hôtes compromis pour inonder une cible, telle que votre serveur web ou l'API de votre application, avec des requêtes semblant légitimes. Ces requêtes épuisent les ressources système, comme la bande passante, le CPU, la mémoire ou les connexions, ce qui entraîne des ralentissements ou des pannes. Les utilisateurs légitimes perdent alors l'accès au service, provoquant des pertes financières et nuisant à l'image de marque. Les services tels que le commerce électronique, les jeux en ligne et les paiements financiers sont des cibles fréquentes, en particulier lors de promotions ou d'événements majeurs.
Alibaba Cloud fournit une protection Anti-DDoS gratuite allant jusqu'à 5 Gbit/s pour chaque adresse IP publique. Cette protection de base présente les limitations suivantes :
Seuil d'atténuation limité : Les attaques modernes peuvent atteindre plusieurs centaines de Gbit/s, dépassant facilement la limite de 5 Gbit/s. Lorsque le trafic d'attaque dépasse ce seuil, le filtrage en trou noir (blackhole) est déclenché : tout le trafic Internet vers votre serveur est ignoré, y compris le trafic non malveillant, ce qui provoque une interruption complète du service.
Types de protection limités : L'édition gratuite nettoie les attaques courantes au niveau réseau et transport, telles que les attaques par réflexion UDP et les inondations SYN (SYN Floods). Elle ne peut pas se défendre contre les attaques au niveau applicatif, comme les inondations HTTP (attaques CC), qui imitent le comportement d'utilisateurs réels et épuisent les ressources CPU et mémoire.
Absence de politiques granulaires : L'édition gratuite utilise une politique automatisée fixe. Vous ne pouvez pas personnaliser les paramètres d'atténuation ni obtenir de rapports détaillés sur les attaques.
Bonnes pratiques
Réduire l'exposition à Internet
Les attaques DDoS nécessitent une adresse IP publique. Si vos services sont internes ou desservent des réseaux spécifiques, évitez de les exposer à Internet. Consultez les rubriques suivantes : Réduire le risque d'exposition à Internet des instances ECS, Accéder aux services cloud via un réseau interne ou une liaison louée et Utiliser PrivateLink pour réduire les communications Internet inutiles.
Utiliser l'édition gratuite d'Anti-DDoS
Le service de base de nettoyage DDoS ne nécessite ni achat ni configuration. Chaque adresse IP publique dispose d'un seuil de nettoyage compris entre 500 Mbit/s et 5 Gbit/s. En dessous de ce seuil, le trafic d'attaque est automatiquement filtré tandis que le trafic non malveillant passe. L'édition gratuite nettoie uniquement les attaques courantes au niveau réseau et transport, telles que les attaques par réflexion UDP, les inondations SYN et les attaques ACK Flood. Elle ne peut pas nettoyer les attaques au niveau applicatif, comme les attaques CC. Si le seuil est dépassé, le filtrage en trou noir ignore tout le trafic vers l'adresse IP attaquée. L'édition gratuite convient à la défense contre les attaques DDoS de faible volume au niveau réseau et transport.
-
Accédez à la page Traffic Security - Overview.
Consultez l'état des attaques DDoS des ressources sous votre compte pour déterminer si elles subissent ou ont subi une attaque.
La zone Historical Attack Analysis de la page Overview propose quatre dimensions d'analyse : Attack Trends, Hot Assets, Peak Attacks et Attack Duration. Vous pouvez filtrer par plage de temps (7 derniers jours, 1 mois, 3 mois ou 1 an) pour afficher les tendances sous forme de diagrammes en barres pour des métriques telles que Scrubbing Count, Blackhole Count, Scrubbed IPs et Blackholed IPs.
Accédez à la page Traffic Security - Asset Center. Dans le coin supérieur gauche de la barre de menu, sélectionnez la région de la ressource.
-
Sélectionnez l'onglet du produit cloud, par exemple ECS.
Consultez l'état de sécurité de ressources spécifiques, telles que les instances ECS et les EIP.
La liste des ressources affiche des colonnes incluant Instance ID, IP, IP Status, Defense Capability et Scrubbing Threshold. La zone DDoS Attack Protection Description en haut de la page affiche des informations telles que les seuils de nettoyage, les seuils de protection de base et le délai de levée du trou noir.
Utiliser une édition payante d'Anti-DDoS
L'édition gratuite est plafonnée à 5 Gbit/s par adresse IP ; le dépassement de ce seuil déclenche le filtrage en trou noir et interrompt le service. Elle ne permet pas non plus de se défendre contre les attaques au niveau applicatif. Si vous faites face à des attaques volumétriques ou au niveau applicatif, ou si vous avez besoin de politiques d'atténuation avancées, choisissez une édition payante d'Anti-DDoS.
Anti-DDoS Origin : S'intègre nativement aux produits cloud tels qu'ECS et Server Load Balancer (SLB), sans modification des adresses IP ni du DNS. Lors d'une attaque, le trafic est redirigé vers un centre de nettoyage sur le réseau dorsal d'Alibaba Cloud. Le trafic nettoyé est ensuite transféré vers votre serveur. Parmi les avantages figurent un déploiement transparent, une faible latence, une capacité d'atténuation pouvant atteindre le Tbit/s et des politiques granulaires contre les attaques CC. Consultez la rubrique Acheter une instance Anti-DDoS Native.
Anti-DDoS Pro et Anti-DDoS Premium : Utilise la redirection DNS ou le pointage IP pour acheminer le trafic via des nœuds de protection distribués à l'échelle mondiale disposant d'une bande passante massive. Le trafic nettoyé est transféré vers votre serveur d'origine, qu'il soit hébergé sur Alibaba Cloud ou non, ce qui rend ces services idéaux pour masquer l'adresse IP de votre serveur d'origine. Consultez la rubrique Acheter une instance Anti-DDoS Proxy.
Consulter l'état des attaques
Alibaba Cloud traite plus de 100 000 attaques DDoS par jour. Si votre service devient inaccessible, connaît des délais d'attente sévères ou voit ses performances se dégrader, consultez la page Traffic Security - Overview pour obtenir des informations sur les attaques actuelles et historiques.
Configurer des alertes d'attaque DDoS
Par défaut, aucune notification n'est envoyée lors d'une attaque DDoS. Configurez des règles d'alerte dans Alertes CloudMonitor (Anti-DDoS Origin) ou Alertes CloudMonitor (Anti-DDoS Pro et Anti-DDoS Premium) :
Alertes de trafic : Définissez des seuils de trafic entrant et sortant pour votre adresse IP dans CloudMonitor. Une alerte est envoyée lorsque le trafic dépasse le seuil, ce qui s'avère efficace car les attaques DDoS génèrent un trafic bien supérieur aux niveaux normaux.
Alertes d'événements : Abonnez-vous aux alertes de filtrage en trou noir DDoS et aux alertes d'événements de nettoyage dans CloudMonitor. Lorsqu'une action Anti-DDoS est déclenchée, une notification est envoyée via le canal d'alerte CloudMonitor.