Mitigasi serangan flood HTTP dengan mengonfigurasi aturan kontrol akses atau kontrol frekuensi yang akurat - Anti-DDoS

Setelah menambahkan layanan website ke Anti-DDoS Proxy, jika website mengalami serangan flood HTTP, Anda dapat menganalisis karakteristik field HTTP dan mengonfigurasi aturan yang ditargetkan untuk meningkatkan deteksi serta pemblokiran serangan. Hal ini berlaku untuk skenario seperti Perlindungan hotlink dan perlindungan backend management website. Topik ini menjelaskan cara mengonfigurasi kebijakan mitigasi flood HTTP.

Produk yang melindungi dari serangan flood HTTP

Serangan flood HTTP (Challenge Collapsar atau serangan CC) adalah jenis serangan penolakan layanan terdistribusi (DDoS) yang umumnya merujuk pada serangan lapisan aplikasi. Penyerang mengendalikan host untuk terus mengirimkan permintaan HTTP atau HTTPS palsu ke server web target, misalnya dengan berulang kali meminta halaman pencarian atau halaman login yang mengonsumsi banyak resource. Tindakan ini menghabiskan resource server atau bandwidth jaringan, memperlambat website, dan mencegah pemrosesan permintaan dari pengguna sah.

Berbeda dengan serangan DDoS lapisan jaringan tradisional, serangan flood HTTP lebih sulit dideteksi karena meniru permintaan pengguna sah. Untuk meningkatkan keamanan layanan website, Alibaba Cloud menyediakan Anti-DDoS Proxy dan Web Application Firewall untuk melindungi dari serangan flood HTTP.

Anti-DDoS Proxy

Anti-DDoS Proxy berfokus pada pertahanan terhadap serangan volumetrik. Layanan ini memastikan infrastruktur jaringan tidak terpengaruh oleh habisnya bandwidth atau resource, dan biasanya diterapkan di edge jaringan. Anti-DDoS Proxy menyediakan Perlindungan Cerdas dan kebijakan mitigasi flood HTTP kustom untuk bertahan melawan serangan flood HTTP.

Perlindungan Cerdas: Berdasarkan kemampuan big data Alibaba Cloud, fitur ini mempelajari baseline traffic layanan website Anda, menganalisis anomali serangan menggunakan algoritma, secara otomatis menghasilkan aturan kontrol akses yang akurat, dan menyesuaikan model perlindungan secara dinamis. Fitur ini membantu mendeteksi dan memblokir serangan web berbahaya, seperti bot jahat dan serangan flood HTTP, sesegera mungkin. Setelah website ditambahkan ke Anti-DDoS Proxy, Perlindungan Cerdas diaktifkan secara default. Untuk informasi selengkapnya, lihat Gunakan fitur Perlindungan Cerdas.
Kebijakan mitigasi flood HTTP kustom: Konten yang dijelaskan dalam topik ini. Setelah website mengalami serangan flood HTTP, Anda dapat menganalisis karakteristik field permintaan HTTP dan mengonfigurasi aturan kontrol akses yang akurat atau aturan kontrol frekuensi. Tindakan seperti kontrol frekuensi, analisis perilaku, dan blacklist alamat IP membantu Anda bertahan lebih baik terhadap serangan DDoS.

Web Application Firewall (WAF)

WAF menganalisis traffic HTTP dan HTTPS yang mencapai lapisan aplikasi. WAF mengidentifikasi dan melindungi dari karakteristik berbahaya dalam traffic website serta aplikasi, sekaligus mencegah server web disusupi secara jahat yang dapat menyebabkan masalah performa. WAF menggunakan berbagai metode untuk mengidentifikasi dan bertahan melawan serangan lapisan aplikasi, termasuk validasi input, kumpulan aturan untuk kerentanan spesifik, pelacakan session, serta mekanisme perlindungan seperti CAPTCHA, Tantangan JavaScript, dan verifikasi cookie. WAF biasanya diterapkan dekat dengan server, memungkinkan pemantauan traffic yang lebih cermat dan penerapan kebijakan keamanan lapisan aplikasi.

Kedua produk berfokus pada aspek perlindungan yang berbeda. Jika Anda hanya ingin bertahan melawan serangan flood HTTP dengan volume tinggi (misalnya, website tidak dapat diakses), kami merekomendasikan Anti-DDoS Proxy. Jika volume serangan tidak tinggi (misalnya, website hanya merespons lambat), kami merekomendasikan Web Application Firewall. Namun, untuk perlindungan terbaik, kami menyarankan agar Anda menerapkan kedua produk guna memastikan layanan website Anda tidak terganggu oleh traffic berbahaya dan penyerang.

Rekomendasi konfigurasi untuk kebijakan mitigasi flood HTTP

Kami menyarankan Anda mengonfigurasi fitur ini saat website sedang mengalami serangan flood HTTP. Fitur ini memperkuat perlindungan dengan mengizinkan atau memfilter traffic berkarakteristik tertentu. Kami tidak menyarankan penggunaan fitur ini untuk perlindungan rutin.

Anda dapat menggunakan metode berikut untuk memeriksa apakah permintaan HTTP mengandung karakteristik yang jelas, seperti alamat IP sumber yang sama atau field yang sama dalam URI, lalu mengonfigurasi kebijakan mitigasi flood HTTP berdasarkan karakteristik tersebut.

Pada halaman Attack Analysis, lihat event HTTP Attack yang dicatat oleh Anti-DDoS Proxy. Detail event mencakup informasi seperti alamat IP sumber serangan, User-Agent, Referer, metode HTTP, dan sidik jari client. Untuk informasi selengkapnya, lihat Analisis serangan.
Pada halaman Log Analysis, lihat field seperti real_client_ip, http_user_agent, http_referer, dan request_method dalam log Anti-DDoS Proxy. Untuk arti field tersebut, lihat Field yang disertakan dalam log lengkap.

Pengantar kebijakan mitigasi flood HTTP

Bergantung pada apakah Rate Limiting diaktifkan saat mengonfigurasi aturan, aturan diklasifikasikan menjadi aturan kontrol akses yang akurat dan aturan kontrol frekuensi. Aturan kontrol akses yang akurat dicocokkan terlebih dahulu, kemudian aturan kontrol frekuensi dicocokkan. Setelah sebuah permintaan sesuai dengan suatu aturan, tidak ada aturan selanjutnya yang akan dicocokkan.

Catatan
Aturan kontrol akses yang akurat yang dihasilkan secara otomatis oleh Perlindungan Cerdas Anti-DDoS Proxy, yaitu aturan dengan awalan smartcc_, juga mengikuti logika pencocokan ini.
Untuk meningkatkan perlindungan default terhadap serangan flood HTTP, mesin perlindungan memiliki dua aturan kontrol frekuensi bawaan. Aturan tersebut ditampilkan di area konfigurasi aturan kontrol frekuensi, dan dinamai Aturan Mitigasi Flood HTTP Bawaan - Berdasarkan Frekuensi Permintaan Klien dan Aturan Mitigasi Flood HTTP Bawaan - Berdasarkan Kode Respons Server Asal. Hanya operasi lihat dan hapus yang didukung.

Item	Aturan kontrol akses yang akurat	Aturan kontrol frekuensi
Deskripsi	Aksi dijalankan ketika kondisi pencocokan terpenuhi. Catatan Jika Anda menemukan aturan dengan awalan `smartcc_` dalam aturan kontrol akses yang akurat, aturan tersebut dihasilkan secara otomatis oleh Perlindungan Cerdas Anti-DDoS Proxy. Aturan tersebut akan dihapus secara otomatis setelah kedaluwarsa. Tidak diperlukan operasi manual.	Aksi dijalankan hanya ketika objek statistik memenuhi kondisi pencocokan dan mencapai ambang batas dalam periode statistik. Penting Aturan mitigasi flood HTTP bawaan tidak dapat dipulihkan setelah dihapus. Harap berhati-hati. Jika Anda yakin ingin menghapus aturan tersebut, kami menyarankan agar setelah penghapusan, Anda mengonfigurasi aturan kontrol frekuensi kustom berdasarkan frekuensi akses dan karakteristik nama domain atau antarmuka penting yang ingin dilindungi. Hal ini meningkatkan perlindungan terhadap serangan flood HTTP.
Periode validitas aturan	Ditentukan oleh Anda. Anda dapat mengatur periode validitas menjadi permanen atau durasi kustom dari 5 hingga 120 menit. Catatan Jika Anda menentukan durasi kustom, aturan akan dihapus secara otomatis saat durasi berakhir.	Permanen.
Prinsip pencocokan	Semua aturan dicocokkan. Jika sebuah permintaan sesuai dengan beberapa aturan, aksi dari aturan yang berada di peringkat lebih tinggi dalam daftar akan dijalankan. Misalnya, jika sebuah permintaan sesuai dengan aturan ① dan aturan ②, maka aksi dari aturan ① yang akan dijalankan.	Semua aturan dicocokkan. Jika sebuah permintaan sesuai dengan beberapa aturan, aksi dari salah satu aturan yang cocok akan dijalankan secara acak.
Batas	Jumlah maksimum aturan kontrol akses yang akurat yang dapat dikonfigurasi untuk setiap nama domain: Instans Paket fungsi standar: 20. Instans Rencana fungsi ditingkatkan: 100.	Jumlah maksimum aturan kontrol frekuensi yang dapat dikonfigurasi untuk setiap nama domain: Instans Paket fungsi standar: 20. Instans Rencana fungsi ditingkatkan: 100.

Penyisipan Cookie

Cookie disisipkan ke dalam layanan Layer 7 dalam dua skenario berikut.

Skenario 1: Mitigasi flood HTTP diaktifkan dalam kebijakan perlindungan DDoS untuk layanan website nama domain tersebut.

Setelah kebijakan mitigasi flood HTTP diaktifkan, Anti-DDoS Proxy menyisipkan cookie ke dalam client (seperti browser) untuk membedakan dan menghitung client. Ketika pengguna mengakses website, cookie yang disisipkan dibawa dalam pesan HTTP. Anti-DDoS Proxy menggunakan hasil statistik untuk menentukan apakah terdapat serangan flood HTTP dalam traffic layanan dan memulai kebijakan pembersihan flood HTTP.
Skenario 2: Aksi aturan mitigasi flood HTTP diatur ke mode tantangan.

Setelah aksi tantangan diaktifkan untuk kebijakan mitigasi flood HTTP, sebuah cookie disisipkan ke dalam header pesan HTTP untuk mendapatkan informasi sidik jari browser client. Informasi sidik jari yang dikumpulkan mencakup field host pesan HTTP serta tinggi dan lebar browser. Ketika traffic sesuai dengan aturan, Anti-DDoS Proxy memulai probe tantangan ke client dan menggunakan statistik sidik jari browser untuk menentukan apakah client bersifat abnormal. Hal ini membantu mengidentifikasi serangan flood HTTP dari client yang abnormal.

Untuk menghentikan Anti-DDoS Proxy menyisipkan cookie ke dalam layanan Anda, buka halaman Onboarding > Website Config di konsol, klik Edit di kolom Aksi, dan matikan sakelar Cookie Settings dalam konfigurasi website. Namun, Anti-DDoS Proxy kemudian tidak dapat secara aktif mendeteksi dan bertahan melawan serangan flood HTTP menggunakan modul kebijakan mitigasi flood HTTP.

Konfigurasikan kebijakan mitigasi flood HTTP

Prasyarat

Layanan website telah ditambahkan ke Anti-DDoS Proxy. Untuk informasi selengkapnya, lihat Tambahkan website.

Prosedur

Masuk ke konsol Anti-DDoS Proxy.
Di bilah navigasi atas, pilih wilayah instans Anda.
- Proxy Anti-DDoS (Tiongkok daratan): Pilih wilayah Tiongkok daratan.
- Proxy Anti-DDoS (luar Tiongkok daratan): Pilih wilayah luar Tiongkok daratan.
Di panel navigasi kiri, pilih Mitigation Settings > General Policies.
Pada halaman General Policies, klik tab Protection for Website Services, lalu pilih nama domain yang ingin dikonfigurasi dari daftar nama domain di sebelah kiri.

Temukan area konfigurasi HTTP Flood Mitigation, klik Settings, klik Create Rule di pojok kanan atas, lalu klik OK setelah konfigurasi selesai.

Parameter	Deskripsi
Rule Name	Nama aturan. Nama dapat berisi huruf, angka, dan garis bawah (_), serta tidak boleh melebihi 128 karakter.
Match Conditions	Kondisi pencocokan aturan. Untuk detail mengenai field, lihat Lampiran 1: Field permintaan HTTP yang didukung. Catatan Field Value tidak boleh kosong. Konten pencocokan aturan kontrol akses yang akurat peka huruf besar/kecil, sedangkan konten pencocokan aturan kontrol frekuensi tidak peka huruf besar/kecil. Anda dapat mengonfigurasi hingga lima kondisi pencocokan. Jika Anda menambahkan beberapa kondisi pencocokan, sebuah permintaan dianggap cocok hanya jika memenuhi semua kondisi tersebut.
Rate Limiting	Menentukan apakah akan mengaktifkan verifikasi frekuensi. Sakelar dimatikan: Aturan merupakan aturan kontrol akses yang akurat. Sakelar dinyalakan: Aturan merupakan aturan kontrol frekuensi. Setelah Anda menyalakan sakelar, Anda harus mengonfigurasi Statistical Object (IP, header kustom, session, cookie kustom, dan parameter permintaan kustom didukung), Duration (Seconds), dan Threshold (Occurrences). Anda juga dapat mengonfigurasi aturan yang lebih presisi berdasarkan jumlah atau proporsi kode respons.
Action	Operasi yang dilakukan pada permintaan ketika permintaan memenuhi kondisi pencocokan. Nilai yang valid: Allow: mengizinkan permintaan. Block: memblokir permintaan. JavaScript Challenge: memverifikasi alamat IP sumber permintaan menggunakan algoritma tantangan. Monitor: mencatat permintaan yang sesuai dengan aturan pemantauan dalam log dan mengizinkan permintaan tersebut. Catatan Ketika pengaturan frekuensi diaktifkan, Action hanya mendukung Block, JavaScript Challenge, dan Monitor.
Validity Period	Ketika sakelar pengaturan frekuensi dimatikan: periode validitas aturan kontrol akses yang akurat. Durasi permanen dan kustom dari 5 hingga 120 menit didukung. Catatan Jika Anda menentukan durasi kustom, aturan akan dihapus secara otomatis saat durasi berakhir. Ketika sakelar pengaturan frekuensi dinyalakan: periode di mana aksi aturan diberlakukan setelah aturan kontrol frekuensi cocok. Hanya durasi kustom dari 1 hingga 1.440 menit yang didukung.
Advanced Settings	Ketika pengaturan frekuensi diaktifkan, deduplikasi selama pengumpulan statistik didukung. Objek statistik dapat diatur ke IP, Header, atau URI. Skenario 1: Mode deduplikasi diaktifkan Pada gambar berikut, ketika kondisi pencocokan terpenuhi dan alamat IP sumber yang sama mengakses 200 URI berbeda atau lebih dalam waktu 30 detik, aksi yang ditentukan akan dijalankan dan permintaan dari alamat IP tersebut diblokir. Karena mode deduplikasi diaktifkan, ketika alamat IP sumber yang sama mengakses URI yang sama berkali-kali, jumlah akses dihitung sebagai 1. Skenario 2: Mode deduplikasi tidak diaktifkan Pada gambar berikut, ketika kondisi pencocokan terpenuhi dan alamat IP sumber yang sama mengirimkan 200 permintaan atau lebih dalam waktu 30 detik, aksi yang ditentukan akan dijalankan dan permintaan dari alamat IP tersebut diblokir. Karena mode deduplikasi tidak diaktifkan, jika alamat IP sumber yang sama mengakses URI yang sama sebanyak 10 kali, jumlah akses dihitung sebagai 10.

Aturan terpicu tetapi traffic tetap tinggi

Jika Anda telah mengonfigurasi aturan kontrol frekuensi mitigasi flood HTTP namun sejumlah besar permintaan masih muncul di log akses, lakukan langkah-langkah berikut untuk memecahkan masalah:

Konfirmasikan apakah aturan berlaku: Periksa kode status respons di log akses. Jika kode status yang sesuai dengan Block muncul, atau halaman verifikasi manusia tampil, berarti aturan telah berlaku dan aksi terkait telah dijalankan.
Periksa traffic dari alamat IP yang tersebar: Aturan kontrol frekuensi menghitung jumlah permintaan dari objek statistik (seperti alamat IP permintaan) dalam periode statistik, dan memblokir permintaan hanya ketika satu objek statistik melebihi ambang batas. Jika traffic serangan berasal dari sejumlah besar alamat IP sumber yang tersebar dan jumlah permintaan yang dikirimkan oleh setiap alamat IP lebih rendah dari ambang batas, aturan tidak akan memblokir permintaan tersebut. Akibatnya, sejumlah besar permintaan yang tidak diblokir masih muncul di log.
Perketat ambang batas: Anda dapat mengurangi periode statistik dari default 60 detik menjadi 10 detik, dan menurunkan ambang batas dari 20 menjadi 3. Periode statistik yang lebih singkat dan ambang batas yang lebih rendah memudahkan jumlah permintaan dari satu alamat IP tersebar untuk mencapai kondisi pemblokiran. Sesuaikan pengaturan berdasarkan karakteristik traffic aktual layanan Anda untuk menghindari pemblokiran permintaan yang sah.
Gunakan mode tantangan untuk mengurangi risiko positif palsu: Jika Anda khawatir memperketat ambang batas dapat memengaruhi pengguna sah, ubah aksi aturan dari Block menjadi JavaScript Challenge. Permintaan yang sesuai dengan aturan kemudian akan memicu halaman verifikasi manusia alih-alih diblokir secara langsung.

Kembali ke area HTTP Flood Mitigation dan nyalakan sakelar Status.

Lampiran 1: Field permintaan HTTP yang didukung

Field pencocokan	Deskripsi field	Operator logika	Contoh field
IP	Alamat IP sumber permintaan. Nilai mendukung beberapa alamat IP atau alamat IP dengan mask.	termasuk dalam, tidak termasuk dalam, ada dalam daftar, tidak ada dalam daftar	10.10.10.10
URI	URI permintaan. Contoh: `/action/member/id.php?id=1&td=2`.	mengandung, tidak mengandung, adalah, bukan, panjang kurang dari, panjang adalah, panjang lebih dari, awalan cocok, merupakan salah satu, bukan salah satu Catatan Jika operator logika adalah "adalah" atau "bukan", nilai harus dimulai dengan `/`.	/action/member/id.php?id=1&td=2
User-Agent	Informasi browser client yang mengirimkan permintaan, seperti pengenal browser, pengenal mesin rendering, dan informasi versi.	mengandung, tidak mengandung, adalah, bukan, panjang kurang dari, panjang adalah, panjang lebih dari, merupakan salah satu, bukan salah satu	Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.XX.XX Safari/537.36
Cookie	Informasi cookie yang dibawa dalam permintaan.	mengandung, tidak mengandung, adalah, bukan, panjang kurang dari, panjang adalah, panjang lebih dari, tidak ada, merupakan salah satu, bukan salah satu	cna=Z87DHXX/jXIBASQBsYAimToU; sca=234ea940; yunpk=177699790****
Referer	URL sumber permintaan, yang menunjukkan halaman dari mana permintaan dialihkan.	mengandung, tidak mengandung, adalah, bukan, panjang kurang dari, panjang adalah, panjang lebih dari, tidak ada, merupakan salah satu, bukan salah satu	https://example.aliyundoc.com/
Content-Type	Tipe konten HTTP dari respons yang ditentukan oleh permintaan, yaitu informasi tipe MIME.	mengandung, tidak mengandung, adalah, bukan, panjang kurang dari, panjang adalah, panjang lebih dari, merupakan salah satu, bukan salah satu	text/plain;charset=UTF-8
X-Forwarded-For	Alamat IP asli client yang mengirimkan permintaan. Format: `<client>, <proxy1>, <proxy2>`	mengandung, tidak mengandung, adalah, bukan, panjang kurang dari, panjang adalah, panjang lebih dari, tidak ada, merupakan salah satu, bukan salah satu	36.18.XX.XX,192.18.XX.XX
Content-Length	Jumlah byte yang terkandung dalam permintaan.	nilai kurang dari, nilai adalah, nilai lebih dari	806
Post-Body	Informasi konten permintaan.	mengandung, tidak mengandung, adalah, bukan, merupakan salah satu, bukan salah satu	Content-Type: application/x-www-form-urlencoded name=John&age=25&email=****
Http-Method	Metode permintaan. Nilai yang valid: GET, POST, DELETE, PUT, OPTIONS, CONNECT, HEAD, dan TRACE.	adalah, bukan, merupakan salah satu, bukan salah satu	POST
Header	Informasi header permintaan, yang digunakan untuk menyesuaikan field header HTTP dan mencocokkan konten.	mengandung, tidak mengandung, adalah, bukan, panjang kurang dari, panjang adalah, panjang lebih dari, tidak ada, merupakan salah satu, bukan salah satu	text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/***
Params	Bagian parameter dalam URL permintaan, yang biasanya merujuk pada bagian setelah `?` dalam URL. Misalnya, dalam `example.aliyundoc.com/index.html?action=login`, `action=login` adalah bagian parameter.	mengandung, tidak mengandung, adalah, bukan, panjang kurang dari, panjang adalah, panjang lebih dari, merupakan salah satu, bukan salah satu	action=login
Raw-URI	URI yang tidak dienkode, yang mempertahankan urutan karakter asli. Raw-URI dapat berisi karakter khusus dan spasi. Namun, URI harus dienkode sebelum digunakan untuk mencegah ambiguitas atau kesalahan selama transmisi jaringan dan penguraian.	mengandung, tidak mengandung, adalah, bukan, panjang kurang dari, panjang adalah, panjang lebih dari, cocok regex, byte mengandung, byte adalah, merupakan salah satu, bukan salah satu	GET /images/logo.png HTTP/1.1
Tls-Fingerprint	Nilai sidik jari client yang diidentifikasi dan dihitung menggunakan algoritma proprietari Alibaba Cloud berdasarkan Sidik jari TLS client yang mengirimkan permintaan. Nilai ini digunakan untuk mencocokkan dan melindungi dari permintaan. Anda dapat melihat sidik jari client dengan cara berikut: Pada halaman Security Overview, klik tab Domain Names, dan lihat Client TLS Fingerprint di bagian bawah halaman. Pada halaman Log Analysis, cari field ssl_client_tls_fingerprinting_md5. Anda harus mengaktifkan Log Service. Untuk informasi selengkapnya, lihat Tutorial.	adalah, bukan	74dcbf6b790160370bb6b7bea98d5978
HTTP/HTTPS	Jenis protokol permintaan. HTTP dan HTTPS didukung.	adalah, bukan	HTTP
Versi HTTP	Versi protokol HTTP. HTTP/1.0, HTTP/1.1, dan HTTP/2.0 didukung.	adalah, bukan, merupakan salah satu, bukan salah satu	HTTP/1.0
Sidik jari HTTP/2.0	Sidik jari HTTP/2.0 yang dihasilkan dengan memproses sidik jari asli klien HTTP/2 menggunakan algoritma MD5. Sidik jari ini digunakan untuk menganalisis dan mengidentifikasi client yang berbeda demi komunikasi yang lebih aman dan efisien.	adalah, bukan	ad8424af1cc590e09f7b0c499bf7fcdb
Sidik jari JA3	Anti-DDoS Proxy memproses parameter kunci dari proses jabat tangan TLS, termasuk Versi TLS, paket sandi, algoritma kompresi, dan ekstensi TLS, dengan algoritma Hash MD5 untuk menghasilkan string yang merepresentasikan konfigurasi TLS client. String ini adalah Sidik jari JA3. Sidik jari JA3 dapat digunakan untuk mengidentifikasi dan membedakan client TLS dari berbagai jenis, seperti browser web, aplikasi seluler, dan malware.	adalah, bukan, merupakan salah satu, bukan salah satu	eb6f49e8db7ad1809f885d12232f4855
Sidik Jari JA4	Sidik Jari JA4 memperkenalkan lebih banyak informasi konteks dan algoritma, seperti versi browser dan sistem operasi, yang mengurangi masalah duplikasi yang mungkin disebabkan oleh Sidik jari JA3. Sidik Jari JA4 dapat membedakan pengguna asli dari peniru dengan lebih akurat dan mengurangi tingkat positif palsu.	adalah, bukan, merupakan salah satu, bukan salah satu	f436b9416f37d134cadd04886327d3e8
Benua/Negara	Lokasi geografis alamat IP sumber.	Pilihan blacklist lokasi	Eropa

Lampiran 2: Contoh konfigurasi

Catatan

Contoh berikut memberikan saran konfigurasi untuk skenario layanan umum. Konfigurasikan aturan berdasarkan kebutuhan aktual layanan Anda. Contoh ini hanya untuk referensi.

Blokir permintaan serangan tertentu

Dalam kebanyakan kasus, layanan yang sah tidak mengirimkan permintaan POST ke Direktori root. Jika layanan website Anda mengalami serangan flood HTTP dan Anda menemukan sejumlah besar permintaan POST ke Direktori root dalam permintaan client, evaluasi apakah permintaan tersebut valid. Jika Anda mengonfirmasi bahwa permintaan tersebut bukan dari layanan yang sah, Anda dapat mengonfigurasi aturan berikut.

Blokir perayap web

Jika Anda menemukan sejumlah besar permintaan perayap dalam traffic website selama periode tertentu, dan tidak dapat menyingkirkan kemungkinan bahwa zombie serangan mensimulasikan perayap untuk melancarkan serangan flood HTTP, Anda dapat memblokir permintaan perayap tersebut. Gambar berikut menunjukkan contoh konfigurasi aturan.

Perlindungan hotlink

Ketika browser mengakses halaman web, browser membawa field Referer untuk memberi tahu server halaman asal tautan permintaan tersebut. Dengan mengonfigurasi aturan kontrol akses untuk field Referer, Anda dapat memblokir hotlinking dari website tertentu. Misalnya, jika Anda menemukan bahwa "https://example.aliyundoc.com" sering melakukan hotlink gambar dari website Anda, Anda dapat mengonfigurasi aturan berikut.

Konfigurasikan batas laju untuk User-Agent

Misalnya, jika sebuah User-Agent mengakses URI dengan awalan /game/all_ lebih dari 30 kali dalam 10 detik, aksi tantangan akan dilakukan pada permintaan dari User-Agent tersebut.

Konfigurasikan batas laju untuk login

Misalnya, untuk mencegah antarmuka login dari serangan credential stuffing frekuensi tinggi yang jahat, Anda dapat mengonfigurasi alamat antarmuka login dan memblokir permintaan ketika lebih dari 20 permintaan dikirimkan dalam 60 detik.

Konfigurasikan aturan kontrol frekuensi berdasarkan kode respons server asal

Dengan mengonfigurasi kondisi pemicu berdasarkan jumlah atau proporsi kode respons server asal, Anda dapat lebih meningkatkan akurasi perlindungan di atas kebijakan perlindungan frekuensi yang ada dan mengurangi risiko positif palsu untuk layanan yang sah. Ketika jumlah permintaan dari objek statistik melebihi ambang batas dalam periode statistik dan kode respons server asal yang dikonfigurasi melebihi jumlah atau proporsi yang ditentukan, aksi terkait akan dipicu.

200

Ketika server asal memiliki kemampuan pemrosesan yang kuat dan masih merespons secara normal terhadap permintaan frekuensi tinggi dari penyerang, Anda dapat menangani alamat IP yang melebihi frekuensi permintaan normal layanan berdasarkan karakteristik layanan Anda. Hal ini membatasi laju permintaan serta melindungi ketersediaan server asal dan layanan Anda. Lihat konfigurasi berikut:

404

Ketika penyerang melancarkan serangan pemindaian URI atau terus-menerus meminta jalur yang tidak ada di server asal, server asal sering merespons dengan sejumlah besar kode status 404. Anda dapat mengonfigurasi kebijakan untuk menambahkan alamat IP penyerang ke blacklist. Lihat konfigurasi berikut:

403

Ketika penyerang melancarkan serangan web dan produk perlindungan seperti WAF diterapkan di belakang Anti-DDoS Proxy, Anda dapat mengonfigurasi aturan berdasarkan kode respons yang dikembalikan oleh produk perlindungan lain untuk permintaan yang diblokir. Misalnya, Alibaba Cloud WAF memblokir serangan web dan merespons dengan 403. Anda dapat mengonfigurasi kebijakan untuk menambahkan alamat IP penyerang ke blacklist di sisi Anti-DDoS Proxy sebelumnya. Lihat konfigurasi berikut:

429

Jika server asal memiliki konfigurasi Pembatasan kecepatan atau verifikasi layanannya sendiri, server asal merespons dengan 429 Too Many Requests atau kode respons kustom ketika permintaan dari penyerang sesuai dengan aturan pembatasan atau verifikasi tersebut. Anda dapat mengonfigurasi kebijakan untuk menambahkan alamat IP penyerang ke blacklist dan mengurangi beban pada server asal. Lihat konfigurasi berikut:

502

Ketika server asal membutuhkan waktu lama untuk memproses permintaan akibat lonjakan permintaan yang tiba-tiba dan mengembalikan respons 502 yang abnormal, Anda dapat mengonfigurasi kebijakan untuk menambahkan alamat IP permintaan frekuensi tinggi ke blacklist guna memastikan ketersediaan server asal. Lihat konfigurasi berikut:

555

Jika server asal memiliki logika layanan khusus dan merespons dengan kode status kustom seperti 555 untuk permintaan yang tidak terduga, Anda dapat menangani alamat IP yang mengirimkan permintaan tidak terduga tersebut di sisi Anti-DDoS Proxy berdasarkan karakteristik ini. Lihat konfigurasi berikut:

Blokir sidik jari client yang tidak valid

Penyerang memalsukan sidik jari client untuk mensimulasikan client nyata dan mencoba membuat sejumlah besar koneksi atau mengirimkan sejumlah besar permintaan HTTP, yang menyebabkan server crash atau menolak layanan. Anda dapat memeriksa dan mengidentifikasi sidik jari client untuk menolak koneksi ini.

Misalnya, selama serangan flood HTTP volumetrik, jika penyerang menggunakan skrip atau tool yang sama, jumlah atau proporsi permintaan yang mengandung nilai sidik jari yang sama akan meningkat tajam. Pada halaman Security Overview, klik tab Domain Names untuk melihat data Client TLS Fingerprint teratas. Kemudian, gunakan field ssl_client_tls_fingerprinting_md5 dalam log Log Analysis untuk melihat proporsi sidik jari client teratas, menganalisis perilaku permintaan, mendeteksi nilai sidik jari yang mencurigakan sesegera mungkin, dan mengonfigurasi kebijakan.