お使いのクラウド アセットがボリューム型の DDoS 攻撃に直面した場合、デフォルトの保護しきい値では不十分な場合があります。Anti-DDoS Native は、アーキテクチャの変更を必要とせずにベースライン防御を強化します。インスタンスを購入し、パブリック IP アドレスに関連付けるだけで、数分以内に保護が有効になります。このコスト効率の高いサービスは、レイヤー3 およびレイヤー4 の DDoS 攻撃から保護します。
背景情報
DDoS 攻撃：分散型サービス妨害 (Distributed Denial of Service) 攻撃の略称です。攻撃者は悪意のあるトラフィックを通じてネットワークやデバイスのリソースを消費し、サービスが利用できなくなります。詳細については、「」をご参照ください。
仕組み
Anti-DDoS Native は、バイパス展開アーキテクチャを使用します。Anti-DDoS Native は、Alibaba Cloud データセンターの出口に DDoS 攻撃検出システムとトラフィックスクラビングシステムをデプロイします。このサービスは、主にパッシブなトラフィックスクラビングを利用し、アクティブな抑制で補完することで、正規の業務を中断することなく DDoS 攻撃トラフィックを特定し、スクラビングします。
攻撃検出：システムは、パブリック IP アドレスを通過するトラフィックを継続的に監視します。
トラフィックスクラビング：インバウンドトラフィックがスクラビングしきい値を超えると、システムはトラフィックをスクラビングセンターに自動的に転送します。
トラフィックの再注入：スクラビングセンターが攻撃トラフィックを破棄した後、クリーンなトラフィックをオリジンサーバーに再注入します。これにより、攻撃が継続している間もサービスへのアクセスが維持されます。
メリット
即時デプロイ：購入後すぐに保護が有効になり、デプロイは最短1分で完了します。追加のインフラをデプロイしたり、IP アドレスを変更したりする必要なく、保護機能がクラウド製品に直接適用されます。
弾力的な防御：大規模な攻撃に直面した場合、システムは現在のリージョンで利用可能なすべての DDoS 保護リソースを自動的に活用し、最大限の保護機能を発揮します。
BGP マルチ ISP アクセス：Border Gateway Protocol (BGP) 帯域幅を使用し、単一の IP アドレスを介して、China Telecom、China Unicom、China Mobile などの複数のキャリアからの高速アクセスを可能にします。
大規模なスクラビング容量：大規模なプロモーションイベント、新製品の発売、および主要な業務のセキュリティニーズを満たすために、十分なスクラビング帯域幅を提供します。
柔軟な共有：複数の IP アドレスが同じ Anti-DDoS Native インスタンスを共有して、複数のアセットの保護ニーズを満たすことができます。
サービスの比較：Anti-DDoS Native vs. Anti-DDoS Proxy
以下の比較を使用して、ニーズに最も適したサービスを判断してください。便利でコスト効率の高い方法でベースライン防御を強化するには、Anti-DDoS Native を選択してください。独立したリソースとより高い SLA で超大規模な攻撃に耐える必要がある主要な業務には、Anti-DDoS Proxy を選択してください。
ディメンション | Anti-DDoS Native | Anti-DDoS Proxy |
主な位置づけ | クラウド製品の保護強化。 | プロフェッショナルグレードの独立した保護。 |
アクセス方法 | 既存のパブリック IP アドレスにバインドします。IP アドレスの変更は不要です。 | 業務トラフィックを Anti-DDoS IP アドレスに切り替えます。 |
防御能力 | リージョンレベルの共有リソースで、上限があります (Gbps レベル)。 | 独立したリソースで、最大 Tbps レベル、より高い SLA を提供します。 |
適用シナリオ | 便利でコスト効率の高い方法でベースライン防御を強化します。 | 超大規模な攻撃に耐える必要がある主要な業務。 |
コスト | 比較的低い。 | 比較的高い。 |
サポートされるクラウド製品タイプ
ディメンション | 標準クラウド製品 | 強化クラウド製品 |
定義 | 標準の Elastic Compute Service (ECS) インスタンス、Elastic IP (EIP) アドレス、Server Load Balancer (SLB) インスタンスなど、Alibaba Cloud のデフォルト DDoS 保護が付属するクラウド製品。 | 購入時に DDoS 保護強化機能が有効になっているクラウド製品。現在、これは特に Anti-DDoS Advanced EIP を指し、コンソールでは [Anti-DDoS (Pro/Premium)] として表示されます。 |
保護ポリシーのアクティベーション | 保護ポリシー (IP アドレスのブラックリストやホワイトリスト、リージョンブロッキングなど) は、アセットが攻撃を受け、トラフィックがスクラビングされている場合にのみ有効になります。 | 保護ポリシーは常に有効です。すべてのトラフィックはスクラビングセンターを通過します。 |
防御能力 | リージョンレベルのスクラビング能力を共有します。中国本土では、最大容量は数百 Gbps に達します。 | Tbps レベルの最大防御能力を提供します。 |
購入設定 | EIP の購入時に、Security Protection で Default を選択します。 | EIP の購入時に、Security Protection で Anti-DDoS (Pro/Premium) を選択します。 |
Anti-DDoS Native のバージョン
カテゴリ | インスタンスエディション | 説明 |
Anti-DDoS Native 1.0 (サブスクリプション) | Anti-DDoS Native (Enterprise) | Anti-DDoS Native は、このエディションの新規購入を停止しました。 |
Anti-DDoS Native 2.0 (サブスクリプション) | Anti-DDoS Native (SMB), Anti-DDoS Native (Enterprise) | 標準クラウド製品と Anti-DDoS Advanced EIP (DDoS 保護強化機能付き EIP) の両方をサポートします。Anti-DDoS Native (SMB) は標準クラウド製品のみをサポートし、Anti-DDoS Advanced EIP はサポートしません。
|
Anti-DDoS Native 2.0 (従量課金) | Anti-DDoS Native (Enterprise) | 標準クラウド製品と強化クラウド製品をサポートします。 |
インスタンス仕様の比較
比較項目 | Anti-DDoS Native 1.0 | Anti-DDoS Native 2.0 (サブスクリプション) | Anti-DDoS Native 2.0 (従量課金)-新規購入はまもなく停止されます | |
Anti-DDoS Native (Enterprise) | Anti-DDoS Native (SMB) | Anti-DDoS Native (Enterprise) | Anti-DDoS Native (Enterprise) | |
保護対象アセット | Alibaba Cloud 製品：ECS、SLB、EIP (NAT Gateway にバインドされた EIP を含む)、IPv6 ゲートウェイ、Simple Application Server、WAF、GA |
| ||
課金方法 | サブスクリプション | サブスクリプション | サブスクリプション | 従量課金 |
緩和可能な攻撃回数 | 無制限 | 月2回 | 無制限 | 無制限 |
保護対象アセットの種類 | 標準クラウド製品 | 標準クラウド製品と強化クラウド製品 (Anti-DDoS Advanced EIP) | ||
アセットリージョンの数 | 単一リージョン内のパブリック IP アセットを保護します。 | 単一リージョン内のパブリック IP アセットを保護します。 | 現在の Alibaba Cloud アカウント内のすべてのリージョンにわたるパブリック IP アセットを保護します。 | 現在の Alibaba Cloud アカウント内のすべてのリージョンにわたるパブリック IP アセットを保護します。 |
保護対象アセットのネットワーク種別 | IPv4 または IPv6 のいずれか1種類のパブリック IP アドレスのみをサポートします。 | IPv4 または IPv6 のいずれか1種類のパブリック IP アドレスのみをサポートします。 | IPv4 と IPv6 両方のパブリック IP アドレスの同時保護をサポートします。 | IPv4 と IPv6 両方のパブリック IP アドレスの同時保護をサポートします。 |
保護対象 IP アドレス数 | 購入時に 100 IP アドレスから選択可能です。 | 購入時に1～29個の IP アドレスを選択できます。 | 購入時に30～2,000個の IP アドレスを選択できます。 より高い仕様については、営業担当者にお問い合わせください。 | 最大 2,000 IP アドレス。 |
業務帯域幅 | 購入時に帯域幅を自由に選択でき、無制限のスケーリングに対応します。 | 購入時に 50 Mbit/s～1,000 Mbit/s を選択できます。 | 購入時に 100 Mbit/s から自由に選択でき、無制限のスケーリングに対応します。標準クラウド製品に帯域幅制限はありません。強化クラウド製品 (Anti-DDoS Advanced EIP) には帯域幅制限があります。 |
|
バースト可能なビジネス帯域幅 | サポートされていません。 | サポートされています。日次 95 パーセンタイルがデフォルトで有効です。有効化すると、合計業務帯域幅はベースライン業務帯域幅の5倍になります。 | 対象外 | |
SLS ログ | サポートされています。 | サポートされていません。 | サポートされています。 | サポートされています。 |
マルチアカウント管理 | サポートされていません。 | サポートされていません。 | サポートされています。 | サポートされています。 |
防御パフォーマンスの比較
Anti-DDoS Native はバージョン 1.0 とバージョン 2.0 を提供しています。Anti-DDoS Native はバージョン 1.0 の新規購入を停止しました。次の表は、バージョン 2.0 のみの防御能力の参考値を示しています。
Anti-DDoS Native は「ベストエフォート保護」モードを使用します。防御能力は固定値ではなく、クラウドデータセンターの全体的な保護水準に基づいて動的に調整されます。保護水準は通常、Alibaba Cloud のネットワークインフラの拡大に伴い増加しますが、リソース制約などの特殊な状況では一時的に低下する可能性があります。
リージョン | Anti-DDoS Native 2.0 (サブスクリプション) Anti-DDoS Native (SMB) | Anti-DDoS Native 2.0 (サブスクリプション) Anti-DDoS Native (Enterprise) | Anti-DDoS Native 2.0 (従量課金) Anti-DDoS Native (Enterprise)-新規購入はまもなく停止されます | |||
標準クラウド製品 | 標準クラウド製品 | 強化クラウド製品 | 標準クラウド製品 | 強化クラウド製品 | ||
中国本土 | 中国 (北京)、中国 (上海)、 中国 (杭州)、中国 (深圳)、中国 (ウランチャブ)、中国 (張家口)、中国 (フフホト)、中国 (河源) | 最大 300～600 Gbps。 | 最大 Tbps レベル。 中国 (北京)、中国 (上海)、中国 (杭州) でのみ購入可能です。 | 最大 300～600 Gbps。 | 最大 Tbps レベル。 中国 (北京)、中国 (上海)、中国 (杭州) でのみ購入可能です。 | |
中国 (成都)、中国 (広州)、中国 (青島) | 最大数十 Gbps。 | 最大数十 Gbps。 | ||||
中国本土以外 | 中国 (香港)、シンガポール (シンガポール)、ドイツ (フランクフルト)、米国 (シリコンバレー)、米国 (バージニア) | 最大 100～200 Gbps。 | 最大 Tbps レベル。 | 最大 100～200 Gbps。 | 最大 Tbps レベル。 | |
日本 (東京) | 最大数十 Gbps。 | 最大 Tbps レベル。 | 最大数十 Gbps。 | 最大 Tbps レベル。 | ||
その他のリージョン | 限定的な防御能力 (10 Gbps 未満)。 | 最大 Tbps レベル。 | 限定的な防御能力 (10 Gbps 未満)。 | 最大 Tbps レベル。 | ||
クイックスタート
Anti-DDoS Native インスタンスを購入します。Anti-DDoS Advanced EIP アセットを追加する必要がある場合は、まずサービスにリンクされたロール (SLR) の承認を完了する必要があります。詳細については、「Anti-DDoS Native インスタンスの購入」をご参照ください。
パブリック IP アセットをインスタンスの保護対象として追加します。詳細については、「保護対象オブジェクト」をご参照ください。
業務トラフィックのパターンに基づいて保護ポリシーをカスタマイズします。詳細については、「緩和設定機能の使用」をご参照ください。
業務トラフィックの監視データを表示します。詳細については、「サービス監視機能の使用」をご参照ください。
保護ログを有効化し、保護分析機能を使用してログのクエリと分析を行い、組み込みの保護レポートを表示します。詳細については、「緩和分析の有効化」をご参照ください。
パブリック IP アセットが攻撃を受けた後、攻撃イベントの詳細を表示します。詳細については、「攻撃分析」をご参照ください。
ブラックホールイベントとスクラビングイベントを表示します。詳細については、「イベントハブ」をご参照ください。
上記の手順を完了した後、Anti-DDoS Native コンソールでアセットの保護ステータスを確認して、保護が有効であることを確認します。「保護済み」ステータスは、パブリック IP アドレスがインスタンスに正常に関連付けられ、保護が機能していることを示します。また、リアルタイムのトラフィック監視データを表示して、システムが業務トラフィックを監視していることを確認することもできます。
よくある質問
Anti-DDoS Native は CC 攻撃 (アプリケーションレイヤー攻撃) から防御できますか？
いいえ。Anti-DDoS Native は、主にレイヤー3 およびレイヤー4 のボリューム型攻撃 (UDP フラッドや SYN フラッドなど) から保護します。HTTP フラッドや CC 攻撃などのアプリケーションレイヤー攻撃から保護するには、Anti-DDoS Proxy を使用してください。