Object Storage Service：Perlindungan DDoS OSS

Skenario

Serangan DDoS telah menjadi salah satu ancaman paling merusak bagi bisnis perusahaan dalam beberapa tahun terakhir. Serangan ini dapat mengganggu operasi bisnis dalam hitungan detik, merusak reputasi korporat, menyebabkan kerugian finansial, dan kehilangan pelanggan.

Untuk mengatasi masalah ini, OSS diintegrasikan dengan Anti-DDoS Pro, mendukung mitigasi serangan hingga tingkat Tbit/s, jutaan permintaan per detik (QPS), serta pergantian cepat dari Anti-DDoS Origin ke Anti-DDoS Pro. Kemampuan ini melindungi bisnis Anda dari berbagai jenis serangan seperti SYN flood, ACK flood, ICMP flood, UDP flood, DNS flood, dan HTTP flood, memastikan kelangsungan operasional.

Catatan Penggunaan

Perlindungan DDoS OSS tidak menangani lalu lintas penipuan volume kecil dalam bentuk permintaan normal, seperti ratusan MB lalu lintas penipuan. Kami merekomendasikan penggunaan kontrol izin, seperti kebijakan atau daftar kontrol akses (ACL), atau konfigurasi kebijakan perlindungan Web Application Firewall (WAF), untuk mencegah masalah tersebut. Untuk informasi lebih lanjut, lihat Bagaimana cara mencegah akses tidak sah ke OSS?.

Cara Kerja Perlindungan DDoS OSS

Gambar berikut menunjukkan cara kerja perlindungan DDoS OSS.

Secara default, OSS menggunakan Anti-DDoS Origin untuk melindungi bucket Anda. Untuk informasi lebih lanjut, lihat Apa itu Anti-DDoS Origin?. Namun, jika frekuensi serangan melebihi ambang perlindungan Anti-DDoS Origin, mitigasi serangan tidak akan efektif dan bucket Anda mungkin tidak dapat diakses.

Setelah mengaktifkan perlindungan DDoS OSS, ketika frekuensi serangan melebihi ambang perlindungan Anti-DDoS Origin, OSS mengalihkan semua lalu lintas masuk ke instance Anti-DDoS Pro. Lalu lintas jahat dibersihkan di pusat pembersihan Anti-DDoS Pro, dan hanya lalu lintas sah yang diteruskan ke bucket melalui port pengalihan. Hal ini memastikan akses normal ke bucket meskipun sedang diserang.

Setelah serangan berhenti, OSS beralih kembali menggunakan Anti-DDoS Origin untuk perlindungan bucket.

Batasan

• Perlindungan DDoS OSS didukung di wilayah berikut: Cina (Hangzhou), Cina (Shanghai), Cina (Qingdao), Cina (Beijing), Cina (Shenzhen), dan Cina (Hong Kong).

• Perlindungan DDoS OSS hanya melindungi akses menggunakan endpoint publik bucket, seperti oss-cn-hangzhou.aliyuncs.com. Endpoint berikut tidak dilindungi:

  • Endpoint percepatan termasuk endpoint percepatan global (oss-accelerate.aliyuncs.com) dan endpoint percepatan wilayah di luar daratan Cina (oss-accelerate-overseas.aliyuncs.com).

  • Endpoint titik akses, seperti ap-01-3b00521f653d2b3223680ec39dbbe2****-ossalias.oss-cn-hangzhou.aliyuncs.com.

  • Endpoint Titik Akses Objek FC, seperti fc-ap-01-3b00521f653d2b3223680ec39dbbe2****-opapalias.oss-cn-hangzhou.aliyuncs.com).

  • Endpoint yang diakses melalui IPv6, seperti cn-hangzhou.oss.aliyuncs.com.

  • Amazon Simple Storage Service (S3) endpoint, seperti s3.oss-cn-hongkong.aliyuncs.com.

• Instance Anti-DDoS harus dipertahankan setidaknya selama 7 hari setelah pembuatan. Jika instance dihapus dalam waktu kurang dari 7 hari (168 jam), Anda akan dikenakan biaya sumber daya dasar untuk durasi tersisa. Untuk informasi lebih lanjut, lihat Biaya Perlindungan DDoS OSS.

• Anda hanya dapat membuat satu instance Anti-DDoS di wilayah tertentu. Setiap instance dapat melampirkan hingga 10 bucket di wilayah yang sama.

• Setelah melampirkan bucket ke instance, Anda tidak dapat melihat pratinjau sumber daya di bucket menggunakan browser. Secara default, OSS tidak melindungi nama domain kustom yang dipetakan ke bucket. Oleh karena itu, saat bucket diserang, Anda tidak dapat mengakses bucket menggunakan nama domain kustom. Jika ingin mengakses bucket menggunakan nama domain kustom saat diserang, tambahkan nama domain kustom di konsol OSS. Anda dapat menambahkan hingga lima nama domain kustom untuk setiap bucket.

  Jika nama domain kustom (seperti www.example.com) cocok dengan nama domain akurat (seperti www.example.com) atau nama domain wildcard (seperti *.example.com) yang ditentukan dalam aturan pengalihan instance, Anda harus melepaskan nama domain tersebut di Konsol Anti-DDoS Pro. Jika tidak, Anda tidak dapat mengakses bucket menggunakan nama domain kustom saat bucket diserang.

  Untuk informasi lebih lanjut tentang aturan pengalihan, lihat Tambahkan satu atau lebih situs web.

Gunakan Konsol OSS

1. Buat instance Anti-DDoS.

   1. Masuk ke Konsol OSS.

   2. Di panel navigasi sebelah kiri, klik Data Service > Anti-DDoS Pro.

   3. Opsional. Jika menggunakan Anti-DDoS Pro untuk pertama kali, klik Activate Now di halaman Anti-DDoS Pro.

   4. Di halaman Anti-DDoS Pro, klik Create Anti-DDoS Instance. Di kotak dialog Buat Instance Anti-DDoS, pilih "Saya memahami informasi di atas dan ingin mengaktifkan fitur ini." dan wilayah dari daftar drop-down Region.

   5. Klik OK.

2. Lampirkan bucket ke instance Anti-DDoS.

   1. Di halaman Anti-DDoS Pro, klik View and Attach Buckets di kolom Tindakan instance yang ingin Anda lampirkan ke bucket.

   2. Di panel View and Attach Buckets, klik Attach Buckets.

   3. Di kotak dialog Attach Buckets, pilih bucket yang ingin Anda lampirkan dari daftar drop-down Bucket.

      Bucket yang dilampirkan ke instance Anti-DDoS tidak ditampilkan dalam daftar drop-down Bucket.

   4. Klik OK.

      Setelah bucket dilampirkan ke instance Anti-DDoS, bucket memasuki status Initializing. Ketika bucket memasuki status Defending, instance Anti-DDoS mulai melindungi bucket.

3. Jika ingin melindungi nama domain kustom, tambahkan nama domain kustom ke daftar perlindungan instance Anti-DDoS.

   Penting

   Secara default, OSS tidak melindungi nama domain kustom yang dipetakan ke bucket. Saat bucket diserang, Anda tidak dapat mengakses bucket menggunakan nama domain kustom. Jika ingin mengakses bucket menggunakan nama domain kustom saat bucket diserang, tambahkan nama domain kustom ke daftar perlindungan instance Anti-DDoS di konsol OSS. Anda dapat menambahkan hingga lima nama domain kustom untuk setiap bucket, termasuk maksimum empat situs. Sebagai contoh, a.mycname.com dan b.mycname.com termasuk dalam situs yang sama, sedangkan c.othercname.com adalah situs yang berbeda.

   • Jika tidak ada nama domain kustom yang dipetakan ke bucket, Anda perlu memetakan nama domain kustom ke bucket. Untuk informasi lebih lanjut, lihat Peta nama domain kustom.

   • Jika nama domain kustom sudah dipetakan ke bucket, tambahkan nama domain kustom dengan langkah-langkah berikut:

     1. Di sebelah kanan bucket yang dilampirkan ke instance, klik Lihat dan Lampirkan Bucket di kolom Operations. Di panel Lihat dan Lampirkan Bucket, klik Modify Custom Domain Name.

     2. Pilih nama domain kustom yang ingin Anda tambahkan.

     3. Klik OK.

        Setelah itu, Anda dapat mengakses bucket menggunakan nama domain kustom saat bucket diserang.