Anti-DDoS Origin は、Alibaba Cloud プロダクトの DDoS 緩和機能を強化するセキュリティサービスです。ご利用のネットワークアーキテクチャを変更することなく、簡単にこのサービスをデプロイできます。レイヤー 4 のポート数やレイヤー 7 のドメイン名に制限はありません。インスタンスを購入し、IP アドレスをアタッチすると、数分以内に保護が有効になります。Anti-DDoS Origin は、主にレイヤー 3 およびレイヤー 4 のボリューム型 DDoS 攻撃を緩和します。このサービスは、基本的な DDoS 緩和機能を、変更を加えることなく、迅速かつコスト効率よく向上させたいユーザーに最適です。
基本概念
DDoS 攻撃：分散型 DoS (DDoS) 攻撃は、悪意のあるトラフィックを使用してネットワークやデバイスのリソースを消費する、一般的なネットワークセキュリティ攻撃の一種です。これにより、ウェブサイトやオンラインサービスが正常に動作しなくなります。詳細については、「DDoS 攻撃とは」をご参照ください。
仕組み
Anti-DDoS Origin はバイパスモードでデプロイされます。Alibaba Cloud データセンターのエグレスで DDoS 攻撃検出およびトラフィックスクラビングシステムを使用します。このシステムは、主にパッシブスクラビングを使用し、アクティブブロッキングで補完することで、通常のサービストラフィックに影響を与えることなく DDoS 攻撃トラフィックを特定し、スクラビングします。
攻撃検出：システムは、ご利用のパブリック IP アドレスへのトラフィックをリアルタイムで検出します。
トラフィックスクラブ：インバウンドトラフィックがデフォルトのスクラビングしきい値を超えると、システムは自動的にトラフィックを DDoS 対策スクラビングセンターにリダイレクトします。
トラフィックの再注入：スクラビングセンターは攻撃トラフィックを特定して破棄します。その後、クリーンなサービストラフィックをご利用のオリジンサーバーに再注入します。これにより、攻撃中でもサービスの可用性が確保されます。
メリット
即時デプロイメント：購入後すぐに保護が有効になり、最短 1 分でデプロイできます。緩和機能は、デプロイメントや IP アドレスの変更を必要とせず、ご利用のクラウドプロダクトに直接適用されます。
弾性的な保護：大規模な攻撃が発生した場合、サービスは現在のリージョンで利用可能なすべての DDoS 緩和リソースを自動的に使用し、無制限保護を提供します。
優れたパフォーマンス：このサービスは Alibaba Cloud BGP 帯域幅を使用します。単一の IP アドレスで、China Telecom、China Unicom、China Mobile などの複数のキャリアにまたがるユーザーに高速アクセスを提供します。
大規模な帯域幅：大規模なトラフィックスクラビング帯域幅を提供し、販売促進、新製品の発売、コアサービスのセキュリティと安定性のニーズに対応します。
柔軟な共有：複数の IP アドレスで単一の保護インスタンスを共有できます。これにより、複数のアセットの緩和ニーズを効率的に満たします。
保護対象のクラウドサービスの種類
比較項目 | 標準 Alibaba Cloud サービス | Anti-DDoS (Enhanced) が有効化された Elastic IP アドレス (EIP) |
定義 | 通常の ECS インスタンス、EIP、SLB インスタンスなど、Alibaba Cloud のデフォルトの DDoS 緩和機能を持つクラウドプロダクト。 | 購入時に拡張 DDoS 緩和機能が有効化されたクラウドプロダクト。これは現在、特に Anti-DDoS (Enhanced) が有効化された EIP (Anti-DDoS Proxy 有効化 EIP とも呼ばれる) に適用されます。 |
軽減ポリシーの適用方法 | ブラックリスト、ホワイトリスト、地域ブラックリストなどの軽減ポリシーは、アセットが攻撃を受け、そのトラフィックがスクラビングされているときにのみ有効になります。 | 軽減ポリシーは常に有効です。すべてのトラフィックがスクラビングセンターを通過します。 |
緩和機能 | 中国本土では最大数百 Gbps に達するリージョンレベルのスクラビング機能を共有します。 | Tbps レベルの無制限保護を提供できます。 |
特別な購入構成 | EIP を購入する際、Security Protection を Default に設定します。 | EIP を購入する際、Security Protection を Anti-DDoS (Pro/Premium) に設定します。 |
Anti-DDoS Origin のエディション
カテゴリ | インスタンスエディション | 説明 |
Anti-DDoS Origin 1.0 (サブスクリプション) | Enterprise Edition | 新規購入はできなくなりました。 |
Anti-DDoS Origin 2.0 (サブスクリプション) | Inclusive Edition for Small and Medium Enterprises、Enterprise Edition | 標準 Alibaba Cloud サービスのみをサポートします。Anti-DDoS (Enhanced) が有効化された Elastic IP アドレス (EIP) はサポートしていません。
|
Anti-DDoS Origin 2.0 (従量課金) | Enterprise Edition | 標準 Alibaba Cloud サービスと Anti-DDoS (Enhanced) が有効化された Elastic IP アドレス (EIP) の両方をサポートします。 |
エディション別の緩和機能
Anti-DDoS Origin にはバージョン 1.0 と 2.0 があります。バージョン 1.0 は新規購入できなくなりました。次の表は、バージョン 2.0 の参考緩和機能のみを示しています。
Anti-DDoS Origin は「無制限保護」モデルを採用しています。その緩和機能は固定値ではなく、クラウドデータセンターの全体的な保護レベルに基づいて動的に調整されます。この保護レベルは通常、Alibaba Cloud のネットワークインフラストラクチャの拡大に伴って増加しますが、リソース競合などの特殊な状況では一時的に低下する可能性があります。
リージョン | Anti-DDoS Origin 2.0 (サブスクリプション) Inclusive Edition for Small and Medium Enterprises | Anti-DDoS Origin 2.0 (サブスクリプション) Enterprise Edition | Anti-DDoS Origin 2.0 (従量課金) Enterprise Edition | ||
標準 Alibaba Cloud サービス | 標準 Alibaba Cloud サービス | 標準 Alibaba Cloud サービス | Anti-DDoS (Enhanced) が有効化された EIP | ||
中国本土 | 中国 (北京)、中国 (上海)、 中国 (杭州)、中国 (深セン)、中国 (ウランチャブ)、中国 (張家口)、中国 (フフホト)、中国 (河源) | 最大 300 Gbps から 600 Gbps。 | 最大 Tbit/s レベル。 中国 (北京)、中国 (上海)、中国 (杭州) でのみ購入可能です。 | ||
中国 (成都)、中国 (広州)、中国 (青島) | 最大値は 10 Gbps です。 | ||||
中国本土以外 | 中国 (香港)、シンガポール、ドイツ (フランクフルト)、米国 (シリコンバレー)、米国 (バージニア) | 最大 100 Gbps から 200 Gbps。より高い保護要件には、Anti-DDoS (Enhanced) が有効化された EIP を使用してください。 | 最大 Tbit/s レベル。 | ||
日本 (東京) | 最大数十 Gbps。より高い保護要件には、Anti-DDoS (Enhanced) が有効化された EIP を使用してください。 | 最大 Tbit/s レベル。 | |||
その他のリージョン | 限定的な緩和機能 (10 Gbps 未満)。Anti-DDoS (Enhanced) が有効化された EIP を使用してください。 | 最大 Tbit/s レベル。 | |||
機能比較
クリーン帯域幅は、保護されているすべてのクラウドプロダクトで共有されます。選択する仕様は、保護されているすべてのクラウドプロダクトの合計帯域幅よりも大きい必要があります。
例えば、合計帯域幅が 2000 Mbps の 3 つのクラウドプロダクトを保護するには、クリーン帯域幅が 2000 Mbps を超えるインスタンスを選択する必要があります。
比較基準 | Anti-DDoS Origin 1.0 | Anti-DDoS Origin 2.0 (サブスクリプション) | Anti-DDoS Origin 2.0 (従量課金) | |
Enterprise Edition | Inclusive Edition for Small and Medium Enterprises | Enterprise Edition | Enterprise Edition | |
保護対象 | Alibaba Cloud プロダクト：ECS、SLB、EIP (NAT Gateway に関連付けられた EIP を含む)、IPv6 ゲートウェイ、Simple Application Server、WAF、および GA。 |
| ||
課金方法 | サブスクリプション。詳細については、「Anti-DDoS Origin 1.0 (サブスクリプション)」をご参照ください。 | サブスクリプション。詳細については、「Anti-DDoS Origin 2.0 (サブスクリプション)」をご参照ください。 | サブスクリプション。詳細については、「Anti-DDoS Origin 2.0 (サブスクリプション)」をご参照ください。 | 従量課金。詳細については、「Anti-DDoS Origin 2.0 (従量課金)」をご参照ください。 |
緩和セッション | 無制限 | 2 セッション/月 | 無制限 | 無制限 |
保護対象アセットのリージョン数 | 1 つのリージョンでパブリック IP アドレスが割り当てられたアセットを保護します。 | 1 つのリージョンでパブリック IP アドレスが割り当てられたアセットを保護します。 | 現在の Alibaba Cloud アカウント内のすべてのリージョンでパブリック IP アドレスが割り当てられたアセットを保護します。 | 現在の Alibaba Cloud アカウント内のすべてのリージョンでパブリック IP アドレスが割り当てられたアセットを保護します。 |
保護対象アセットのネットワークタイプ | パブリック IP アドレスを持つ 1 種類のアセットのみをサポートします：IPv4 または IPv6。 | パブリック IP アドレスを持つ 1 種類のアセットのみをサポートします：IPv4 または IPv6。 | パブリック IP アドレスを持つ IPv4 と IPv6 の両方のアセットをサポートします。 | パブリック IP アドレスを持つ IPv4 と IPv6 の両方のアセットをサポートします。 |
保護対象 IP アドレス数 | 100 から。インスタンス購入時に指定できます。 | 1 から 29。インスタンス購入時に指定できます。 | 30 から 2,000。インスタンス購入時に指定できます。 より高い仕様をリクエストするには、アカウントマネージャーにお問い合わせください。 | 最大 2,000。 |
クリーン帯域幅 | インスタンス購入時に帯域幅を指定できます。無制限のスケールアウトがサポートされています。 | 50 Mbps から 1000 Mbps。インスタンス購入時に帯域幅を指定できます。 | 100 Mbps から。インスタンス購入時に帯域幅を指定できます。無制限のスケールアウトがサポートされています。 |
|
SLS ログ | サポートされています。 | サポートされていません。 | サポートされています。 | サポートされています。 |
マルチアカウント管理 | サポートされていません。 | サポートされていません。 | サポートされています。 | サポートされています。 |
Anti-DDoS Origin の利用開始
Anti-DDoS Origin インスタンスを購入します。詳細については、「Anti-DDoS Origin インスタンスの購入」をご参照ください。
パブリック IP アドレスが割り当てられたアセットをインスタンスの保護対象として追加します。詳細については、「保護対象」をご参照ください。
ご利用のサービストラフィックの特性に基づいてカスタム緩和ポリシーを作成します。詳細については、「緩和設定 (レガシー)」をご参照ください。
ご利用のサービストラフィックのモニタリングデータを表示します。詳細については、「ビジネスモニタリング」をご参照ください。
緩和ログを有効にします。その後、緩和分析機能を使用して Anti-DDoS Origin インスタンスの緩和ログをクエリおよび分析し、組み込みの緩和レポートを表示します。詳細については、「緩和策分析の有効化」をご参照ください。
パブリック IP アドレスを持つアセットが攻撃された後、攻撃イベントの詳細を表示します。詳細については、「攻撃分析」をご参照ください。
ブラックホールフィルタリングとトラフィックスクラブイベントを表示します。詳細については、「イベントセンター」をご参照ください。
よくある質問
Anti-DDoS Origin と Anti-DDoS Proxy の違いは何ですか？
比較基準
Anti-DDoS Origin
Anti-DDoS Proxy
コアポジショニング
クラウドプロダクトの保護強化。
プロフェッショナルグレードのスタンドアロン保護。
接続タイプ
既存のパブリック IP アドレスにアタッチします。IP アドレスの変更は不要です。
サービストラフィックを Anti-DDoS Proxy の IP アドレスに切り替える必要があります。
緩和機能
リージョンレベルで共有され、上限があります (Gbps レベル)。
Tbit/s レベルに達することができる専用リソースで、より高い SLA を提供します。
シナリオ
基本的な緩和を改善します。便利でコスト効率が高いです。
コアサービスを保護し、超大規模な攻撃を緩和します。
コスト
比較的低いです。
比較的高い。
Anti-DDoS Origin は HTTP フラッド攻撃 (アプリケーションレイヤー攻撃) を緩和できますか？
いいえ、できません。Anti-DDoS Origin は、主に UDP フラッドや SYN フラッドなどのレイヤー 3 およびレイヤー 4 のボリューム攻撃を緩和します。