Anti-DDoS：Istilah

Serangan DDoS

Serangan penolakan layanan terdistribusi (DDoS) mencakup serangan volumetrik dan serangan lapisan aplikasi.

• Serangan volumetrik menargetkan lebar pita jaringan suatu layanan. Penyerang biasanya menggunakan banyak komputer yang dikendalikan atau simulator serangan untuk mengirim volume permintaan atau paket data yang sangat tinggi ke server target, sehingga menghabiskan lebar pita jaringan dan membuat layanan tidak tersedia.

• Serangan lapisan aplikasi menargetkan server. Selama serangan ini, permintaan berbahaya menghabiskan sumber daya memori atau CPU server, sehingga server tidak dapat merespons permintaan normal.

Pembersihan trafik

Pembersihan trafik menggunakan perangkat atau layanan anti-DDoS profesional untuk menganalisis dan menyaring trafik, membedakan antara trafik normal dan trafik serangan, lalu hanya meneruskan trafik normal kembali ke server asal. Hal ini mengurangi beban dan risiko pada server.

Penyaringan blackhole

Penyaringan blackhole dipicu ketika trafik serangan DDoS melebihi kemampuan mitigasi maksimum layanan pembersihan. Untuk melindungi ketersediaan layanan lain di jaringan yang sama, seluruh trafik ke alamat IP target akan dibuang. Untuk informasi lebih lanjut, lihat Kebijakan penyaringan blackhole Alibaba Cloud.

Serangan kehabisan sumber daya web

Serangan kehabisan sumber daya web adalah serangan permintaan berbahaya yang menargetkan protokol lapisan aplikasi, seperti HTTP dan HTTPS. Serangan ini meniru perilaku akses pengguna nyata—seperti login, pendaftaran, dan pencarian—untuk mengonsumsi sumber daya aplikasi situs target, sehingga situs tersebut tidak dapat merespons permintaan normal.

Serangan banjir koneksi

Serangan banjir koneksi adalah serangan sesi berbahaya pada lapisan transport. Penyerang menggunakan banyak terminal zombie untuk mengirim banyak permintaan TCP ke situs web target, sehingga mengonsumsi sumber daya server target seperti koneksi, CPU, dan memori. Akibatnya, server target tidak dapat merespons permintaan normal.

Serangan volumetrik

Serangan volumetrik menargetkan lebar pita jaringan. Penyerang biasanya menggunakan banyak komputer yang dikendalikan atau generator paket untuk mengirim volume permintaan atau paket data yang sangat tinggi ke server target, sehingga menghabiskan lebar pita jaringan dan membuat layanan normal tidak dapat diakses.

Proteksi best-effort (Anti-DDoS Pro dan Anti-DDoS Premium)

Kluster Anti-DDoS Pro dan Anti-DDoS Premium menggunakan semua sumber daya yang tersedia untuk memberikan proteksi best-effort. Namun, jika serangan melebihi kemampuan mitigasi maksimum kluster, penyaringan blackhole mungkin dipicu. Untuk informasi lebih lanjut, lihat Penagihan Anti-DDoS Pro (Daratan Tiongkok).

Perlindungan burstable

Perlindungan burstable adalah fitur mitigasi DDoS yang tersedia dalam Edisi Profesional Anti-DDoS Pro (Daratan Tiongkok). Jika serangan DDoS melebihi bandwidth perlindungan dasar, Anda dapat menetapkan ambang batas maksimum trafik serangan untuk Anti-DDoS Pro (Daratan Tiongkok). Ambang batas ini dikenal sebagai bandwidth perlindungan yang dapat diperluas. Jika puncak trafik serangan DDoS melebihi bandwidth perlindungan dasar tetapi masih di bawah bandwidth perlindungan burstable yang Anda konfigurasi, perlindungan burstable akan dipicu. Ketika hal ini terjadi, biaya perlindungan burstable akan dikenakan untuk hari serangan tersebut. Untuk informasi lebih lanjut, lihat Metode penagihan bandwidth perlindungan burstable.

Mitigasi canggih

Mitigasi canggih, juga dikenal sebagai proteksi best-effort, bertujuan untuk berhasil mempertahankan setiap serangan DDoS dengan mengintegrasikan kemampuan semua pusat pembersihan Anti-DDoS di wilayah Alibaba Cloud saat ini guna melindungi layanan Anda secara menyeluruh.

Jika sebuah instans Anti-DDoS Proxy menerima lebih dari 5 Gbit/s trafik serangan DDoS, sesi mitigasi canggih yang disediakan untuk instans tersebut akan digunakan. Sesi mitigasi canggih ini melindungi instans selama 24 jam. Semua serangan DDoS yang terjadi pada instans Anti-DDoS Proxy dalam rentang 24 jam tersebut menggunakan sesi mitigasi canggih yang sama.

Edisi instans berikut menyediakan mitigasi canggih:

Untuk informasi lebih lanjut, lihat Penagihan Anti-DDoS Pro (Daratan Tiongkok), Penagihan rencana mitigasi Asuransi dan Tanpa Batas untuk Anti-DDoS Premium (Luar daratan Tiongkok), dan Penagihan rencana mitigasi Sec-MCA untuk Anti-DDoS Premium (Luar daratan Tiongkok).

Anycast

Anti-DDoS Premium (Luar daratan Tiongkok) menggunakan pola komunikasi anycast. Layanan ini memanfaatkan kemampuan pusat pembersihan Alibaba Cloud di seluruh dunia sebagai sumber daya untuk layanan Anti-DDoS Premium (Luar daratan Tiongkok). Anycast adalah metode pengalamatan dan perutean jaringan di mana pesan yang dikirim ke alamat anycast diarahkan ke kelompok server tertentu yang diidentifikasi oleh alamat tersebut.

Alamat anycast dapat mengarahkan trafik masuk ke beberapa pusat data. Ketika trafik akses tiba di alamat IP yang terhubung ke alamat anycast, trafik tersebut didistribusikan ke pusat data yang berbeda berdasarkan metode distribusi yang dikonfigurasi. Biasanya, trafik didistribusikan ke pusat data yang paling dekat dengan sumber trafik. Anti-DDoS Premium (Luar daratan Tiongkok) memiliki titik akses di wilayah-wilayah berikut untuk membantu Anda terhubung ke Alibaba Cloud.

Sebagai contoh, asumsikan bahwa alamat IP anycast dari sebuah instans Anti-DDoS Premium (Luar daratan Tiongkok) adalah 170.x.x.x. Semua pusat pembersihan Alibaba Cloud di luar Daratan Tiongkok mengiklankan entri rute ke alamat IP ini. Ketika sebuah paket data dikirim ke alamat IP ini, paket tersebut melewati serangkaian rute dan dikirim ke node dengan jalur terpendek (jumlah hop rute paling sedikit). Jalur terpendek ditentukan dengan memeriksa jalur yang tersedia ke setiap node di pusat pembersihan Alibaba Cloud di luar Daratan Tiongkok. Jika server di suatu node gagal dan menjadi tidak tersedia, iklan untuk segmen IP yang tidak tersedia tersebut segera dihentikan. Paket kemudian diarahkan ke node layanan terdekat yang tersedia berdasarkan prinsip jalur terpendek.

Secara default, trafik dari pengguna di Hong Kong (Tiongkok) diarahkan ke pusat pembersihan Anti-DDoS Alibaba Cloud di China (Hong Kong).