Object Storage Service:Perlindungan DDoS OSS

Skenario

Serangan DDoS merupakan salah satu jenis serangan paling merugikan terhadap perusahaan. Ketika mengalami serangan DDoS, layanan perusahaan dapat terganggu, sehingga berpotensi merusak citra perusahaan, menyebabkan pelanggan beralih, serta menimbulkan kerugian finansial—semuanya berdampak serius terhadap operasi bisnis.

Untuk mengatasi masalah ini, OSS diintegrasikan secara mendalam dengan Anti-DDoS Pro dan Anti-DDoS Premium. Integrasi ini menyediakan kemampuan mitigasi DDoS hingga ratusan Gbps, perlindungan untuk jutaan permintaan per detik (QPS), serta alih serangan dalam hitungan detik. Fitur-fitur ini secara efektif melindungi dari serangan banjir DDoS skala ratusan Gbps dan serangan lainnya seperti SYN Flood, ACK Flood, ICMP Flood, UDP Flood, NTP Flood, SSDP Flood, DNS Flood, dan HTTP Flood, sehingga memastikan layanan Anda tetap tersedia selama serangan berlangsung.

Catatan penggunaan

• Perlindungan DDoS OSS tidak menangani trafik penipuan volume rendah yang meniru permintaan normal. Untuk mencegah jenis trafik ini, Anda dapat mengonfigurasi kontrol akses menggunakan kebijakan atau daftar kontrol akses (ACLs), atau mengaktifkan perlindungan Web Application Firewall (WAF). Untuk informasi lebih lanjut, lihat Bagaimana cara mencegah trafik penipuan mengakses OSS?.

• Perlindungan DDoS OSS tidak dapat secara efektif memitigasi serangan CC skala menengah.

Cara kerja

Gambar berikut menunjukkan cara kerja Perlindungan DDoS OSS.

Secara default, OSS menggunakan Anti-DDoS Origin untuk melindungi bucket Anda. Namun, jika volume trafik serangan melebihi ambang batas perlindungan Anti-DDoS Origin, layanan tersebut tidak dapat memberikan perlindungan yang efektif, sehingga berpotensi mengganggu akses ke bucket Anda.

Setelah Anda mengaktifkan Perlindungan DDoS OSS, jika trafik serangan melebihi ambang batas perlindungan Anti-DDoS Origin, OSS secara otomatis mengalihkan seluruh trafik yang ditujukan ke bucket yang diserang ke instans Anti-DDoS. Trafik berbahaya dibersihkan dan difilter di pusat pembersihan lalu lintas, sedangkan lalu lintas normal diteruskan ke bucket tujuan melalui pengalihan port dan protokol. Hal ini memastikan akses ke bucket tetap stabil selama serangan.

Setelah serangan berakhir, trafik ke bucket dialihkan kembali ke Anti-DDoS Origin untuk perlindungan.

Batasan

• Perlindungan DDoS OSS didukung di wilayah-wilayah berikut: Tiongkok (Hangzhou), Tiongkok (Shanghai), Tiongkok (Qingdao), Tiongkok (Beijing), Tiongkok (Shenzhen), dan Tiongkok (Hong Kong).

• Perlindungan DDoS OSS hanya melindungi titik akhir publik bucket, seperti oss-cn-hangzhou.aliyuncs.com. Perlindungan ini tidak mencakup jenis nama domain berikut:

  • Titik akhir akselerasi, seperti oss-accelerate.aliyuncs.com dan oss-accelerate-overseas.aliyuncs.com

  • Titik akhir titik akses, seperti ap-01-3b00521f653d2b3223680ec39dbbe2****-ossalias.oss-cn-hangzhou.aliyuncs.com

  • Titik akhir Object FC Access Point, seperti fc-ap-01-3b00521f653d2b3223680ec39dbbe2****-opapalias.oss-cn-hangzhou.aliyuncs.com

  • Titik akhir yang diakses melalui IPv6, seperti cn-hangzhou.oss.aliyuncs.com

  • Titik akhir Amazon S3, seperti s3.oss-cn-hongkong.aliyuncs.com

• Instans Anti-DDoS memiliki periode penggunaan minimum tujuh hari setelah dibuat. Jika Anda menghapus instans tersebut dalam periode ini, Anda akan dikenai biaya sumber daya dasar untuk sisa periode tujuh hari tersebut. Untuk informasi lebih lanjut tentang penagihan, lihat Biaya perlindungan DDoS.

• Anda hanya dapat membuat satu instans Anti-DDoS di satu wilayah. Setiap instans dapat disambungkan ke maksimal 10 bucket dalam wilayah yang sama.

• Setelah Anda menyambungkan bucket ke instans Anti-DDoS, Anda tidak dapat melakukan pratinjau resource di bucket tersebut melalui browser. Selain itu, OSS tidak melindungi nama domain kustom yang dikaitkan dengan bucket secara default. Oleh karena itu, saat bucket sedang diserang, Anda tidak dapat mengaksesnya menggunakan nama domain kustom tersebut. Jika ingin mengakses bucket menggunakan nama domain kustom selama serangan, Anda harus menambahkan nama domain kustom tersebut ke daftar perlindungan di konsol Perlindungan DDoS OSS. Anda dapat menambahkan maksimal lima nama domain kustom ke daftar perlindungan untuk setiap bucket.

  Jika nama domain kustom yang ingin Anda lindungi untuk bucket tersebut (misalnya www.example.com) cocok dengan nama domain eksak (misalnya www.example.com) atau nama domain wildcard (misalnya *.example.com) yang dikonfigurasi dalam aturan pengalihan Anti-DDoS Pro dan Anti-DDoS Premium, Anda harus membuka Konsol Anti-DDoS Pro dan melepaskan nama domain eksak atau wildcard tersebut. Jika tidak, Anda tidak dapat mengakses OSS melalui nama domain kustom tersebut saat bucket sedang diserang.

  Untuk informasi lebih lanjut tentang aturan pengalihan untuk nama domain eksak atau wildcard, lihat Tambahkan konfigurasi website.

Gunakan konsol OSS

1. Buat instans Anti-DDoS.

   1. Masuk ke Konsol OSS.

   2. Di panel navigasi sebelah kiri, pilih Data Service > Anti-DDoS Pro.

   3. Opsional: Jika ini pertama kalinya Anda menggunakan Perlindungan DDoS OSS, pada halaman Anti-DDoS Pro, klik Activate Now.

   4. Di halaman Anti-DDoS Pro, klik Create Anti-DDoS Instance lalu pilih Region.

   5. Klik OK.

2. Sambungkan bucket.

   1. Di kolom Actions instans tujuan, klik View and Attach Buckets.

   2. Di panel View and Attach Buckets, klik Attach Protected Buckets.

   3. Di kotak dialog Attach Protected Buckets, pilih bucket yang ingin Anda sambungkan dari daftar drop-down Bucket.

      Bucket yang sudah disambungkan ke instans Anti-DDoS tidak akan muncul di daftar drop-down Protected Bucket.

   4. Klik OK.

      Setelah bucket disambungkan, statusnya menjadi Initializing. Saat status berubah menjadi Protecting, instans Anti-DDoS mulai melindungi nama domain bucket tersebut.

3. Untuk melindungi nama domain kustom, tambahkan nama domain kustom tersebut ke daftar perlindungan.

   Penting

   OSS tidak melindungi nama domain kustom yang dikaitkan dengan bucket secara default. Oleh karena itu, Anda tidak dapat mengakses bucket menggunakan nama domain kustom tersebut selama serangan. Jika ingin mengakses bucket menggunakan nama domain kustom selama serangan, Anda harus menambahkan nama domain kustom tersebut ke daftar perlindungan. Anda dapat menambahkan maksimal lima nama domain kustom ke daftar perlindungan untuk setiap bucket. Nama domain kustom tersebut dapat berasal dari maksimal empat situs berbeda. Misalnya, a.mycname.com dan b.mycname.com berasal dari situs yang sama, sedangkan c.othercname.com berasal dari situs yang berbeda.

   • Jika nama domain kustom belum dikaitkan dengan bucket, Anda harus mengaitkannya terlebih dahulu. Untuk informasi lebih lanjut, lihat Attach a custom domain name.

   • Jika nama domain kustom sudah dikaitkan dengan bucket, lakukan langkah-langkah berikut untuk menambahkannya ke daftar perlindungan:

     1. Di kolom Actions bucket yang dilindungi, klik Modify Custom Domain Name.

     2. Pilih nama domain kustom yang ingin Anda lindungi.

     3. Klik OK.

        Instans Anti-DDoS mulai melindungi nama domain kustom yang dipilih.