Anti-DDoS:IP 保護ポリシー

ステップ 1：基本情報の作成

1. トラフィックセキュリティコンソールの [緩和設定] ページに移動します。

2. ポリシーの新規作成 をクリックします。表示されたダイアログボックスで、ポリシー名 を入力し、確定 をクリックします。

3. ポリシーが作成されたら、ポリシーが作成されました ダイアログボックスで OK をクリックして ルールの追加 ページに移動します。

   説明

   また、ポリシーリストページで新しく作成したポリシーを見つけ、Modify Mitigation Policy をクリックすると、ルール構成パネルに移動できます。

ステップ 2：緩和ルールの設定

ルールの追加 ページで、以下の緩和ルールを設定します。

インテリジェント軽減

インテリジェントなビッグデータ分析エンジンが、ビジネスのトラフィックベースラインを学習し、ネットワーク層およびトランスポート層の DDoS 攻撃に対して適応的に保護します。

• 適用シナリオ：標準および高機能クラウド資産の両方で常に有効です。

• 保護効果：過去のトラフィックデータと専門家の経験に基づくアルゴリズムに基づき、保護レベルは以下の通りです：

  重要

  ポリシーテンプレートを作成すると、この機能はデフォルトで正常で有効になります。最適な保護には、約 3 日間のビジネス トラフィックのトレーニングが必要です。

  • ルース: 明らかな攻撃パターンを持つ IP をブロックします。一部の攻撃がすり抜ける場合がありますが、誤検知は少ないです。

  • 正常: 保護と誤検知のバランスを取りつつ、明白な、および疑わしい悪意のある IP をブロックします。

  • ストリクト: 防御レベルは最大ですが、偽陽性率が高くなります。

• 設定方法：

  1. ルール構成パネルで、インテリジェント軽減 セクションを探します。

  2. Level セクションで、保護レベルとして ルース、正常、または ストリクト を選択します。

ICMP ブロック

スクラビング中に ICMP トラフィックを破棄し、ICMP 攻撃をフィルタリングしてサーバープロービングのリスクを低減します。

• 適用シナリオ：標準クラウド資産では攻撃中に有効です。高機能クラウド資産では常に有効です。

• 保護効果：

  • ICMP ブロックが有効な場合、ping コマンドは応答を受け取りません。

    警告

    ネットワーク診断を実行する前に ICMP ブロックを無効にしてください。そうしないと、ping が機能しません。

  • ICMP ブロックはホワイトリストに登録された IP にも適用されます。ホワイトリストに登録された IP からの ICMP トラフィックも破棄されます。

• 設定方法：

  1. ルール構成パネルで、ICMP ブロック セクションを探します。

  2. ステータス セクションで、スイッチをオンまたはオフにします。ビジネスで ICMP を使用しない場合は、このルールを有効にします。

ブラックリスト / ホワイトリスト

• 適用シナリオ：標準クラウド資産では攻撃中に有効です。高機能クラウド資産では常に有効です。

• 保護効果：指定された送信元 IP からのトラフィックを直接破棄または許可するルールを設定します。

  重要

  ホワイトリストで許可されるトラフィックが大きすぎる場合、許可されたトラフィックがクラウド資産の仕様やクラウドプラットフォームの保証により、Anti-DDoS Native のデフォルトの宛先 IP レート制限ポリシーに抵触する可能性があります。

• 設定方法：

  1. ルール設定パネルで、ブラックリスト / ホワイトリスト セクションを見つけ、Settings をクリックします。

  2. Blacklist または Whitelist を選択し、次のように構成します。

     Blacklist

     1. タイムアウト期間の設定 (Blacklist のみ)：ブラックリストを追加する際は、タイムアウト期間を設定する必要があります。この設定は、ブラックリスト内のすべての IP に適用されます。

        1. Blacklist タブで、タイムアウト設定 をクリックします。

        2. ダイアログボックスの タイムアウト設定 セクションで、ビジネスニーズに基づいてタイムアウト期間を設定します。カスタマイズ (5～43,200 分)、常に有効、30 分、またはその他の期間を選択できます。

     2. IP アドレスの追加：

        1. Add をクリックします。Blacklist Configuration 構成ダイアログボックスが表示されます。

        2. 設定ダイアログボックスに、ブラックリストに登録する IP アドレスを入力します。複数のアドレスはスペースまたは改行で区切ります。

           説明

           ブラックリストには、手動で最大 2,000 個の IP アドレスを追加できます。

     Whitelist

     1. Add をクリックします。Whitelist Configuration 構成ダイアログボックスが表示されます。

     2. 設定ダイアログボックスに、ホワイトリストに登録する IP アドレスを入力します。複数のアドレスはスペースまたは改行で区切ります。

        説明

        ホワイトリストには、手動で最大 2,000 個の IP アドレスを追加できます。

地域ブロック

地理的な地域に基づいてアクセスリクエストをブロックします。

• 適用シナリオ：標準クラウド資産では攻撃中に有効です。高機能クラウド資産では常に有効です。

• 保護効果：ブロックされた地域から宛先 IP へのトラフィックは破棄されます。地域または国単位でブロックします。

• 設定方法：

  1. ルール構成パネルで、地域ブロック セクションを見つけます。

  2. リージョン選択リストで、ブロックするリージョンまたは国を選択し、OK をクリックします。

     説明

     正当なビジネストラフィックがないすべての地域をブロックしてください。

ポートブロッキング

UDP または TCP プロトコルの送信元または宛先ポートのフィルタリングルールを設定します。

• 適用シナリオ：標準クラウド資産では攻撃中に有効です。高機能クラウド資産では常に有効です。

• 保護効果：指定されたプロトコルポートからのトラフィックを破棄します。これを使用して UDP リフレクション攻撃をフィルタリングします。

• 設定の提案：

  • 資産が TCP トラフィックのみを使用する場合、すべての UDP 送信元ポートをブロックします。

    説明

    後で UDP サービスを追加する場合は、ポリシーを調整してください。

  • 資産が UDP トラフィックを使用する場合、一般的な UDP リフレクションの送信元ポート (1-52、54-161、389、1900、11211) をブロックします。

• 設定方法：

  1. ルール設定パネルで、ポートブロッキング セクションの Settings をクリックします。

  2. Configure Source Port Blocking ページで、ポートの追加 をクリックします。

  3. Add Port ダイアログボックスで次のように構成し、OK をクリックしてルールを保存します。

     説明

     最大 8 つのルールをサポートします。

     • プロトコル：プロトコルの種類として TCP または UDP を選択します。

     • 送信元ポート範囲、宛先ポート範囲：送信元ポート範囲と宛先ポート範囲を設定します。

     • アクション：廃棄 のみがサポートされています。

ソースレート制限

アクセス頻度がしきい値を超えた送信元 IP アドレスにレート制限を適用します。

• 適用シナリオ：高機能クラウド資産でのみサポートされます。常に有効です。

• 保護効果：しきい値を超えた送信元 IP はブラックリストに登録され、そのすべてのトラフィックが破棄されます。

• 設定方法：

  1. ルール設定パネルで、ソースレート制限 セクションの Settings をクリックします。

  2. Configure Source Rate Limiting パネルで、レート制限ディメンションのスイッチ (ソース PPS、ソース帯域幅、ソース SYN パッケージの PPS、または ソース SYN パッケージの帯域幅) をオンにし、レート制限のしきい値を入力します。

  3. (任意) ブラックリストへの自動追加機能を有効にするには、If a source IP address triggers rate limiting five times within 60 seconds, the IP address is added to the blacklist. を選択します。60 秒以内に 5 回レート制限を超えた IP は、ブラックリストに追加されます。

リフレクション攻撃のフィルターリング

• 適用シナリオ：高機能クラウド資産でのみサポートされます。常に有効です。

• 保護効果：UDP トラフィックにのみ適用されます。指定された UDP リフレクションの送信元ポートからのトラフィックを破棄します。

• 設定方法：

  1. ルール構成パネルで、リフレクション攻撃のフィルターリング セクションの Settings をクリックします。

  2. Configure Filtering Policies for UDP Reflection Attacks パネルで、フィルタリング戦略を選択します。次の 2 つの戦略がサポートされています：

     • ワンクリックフィルターポリシー：一般的な UDP リフレクション攻撃で使用されるポートを一覧表示します。お客様のビジネスで使用しないポートはすべてブロックしてください。

     • カスタムファイターポリシー: リフレクション送信元ポート (最大 20 個) をカスタマイズします。ポートは ワンクリックフィルターポリシー のものと重複できません。

指紋フィルター

• 適用シナリオ：標準クラウド資産では攻撃中に有効です。高機能クラウド資産では常に有効です。

• 保護効果：偽装された攻撃パケットは、通常、特定の文字列や同一のパケット内容など、同じ特徴フィールドを共有します。フィンガープリントフィルタリングは、ヘッダーフィールドとデータボディ (ペイロード) のコンテンツを照合してこれらのパケットを識別し、照合結果に基づいてトラフィックをフィルタリング、許可、またはレート制限します。単一のフィンガープリントルールは複数の照合条件を組み合わせることができ、ポート、パケット長、IP アドレス、TCP フラグ、ペイロードなどのフィールドに対して数値演算を行ってから比較することができます。

  説明

  すべてのフィンガープリントルールは、TCP および UDP パケットにのみ適用されます。

• 設定方法：

  1. ルール構成パネルで、指紋フィルター セクションにある Settings をクリックします。

  2. Configure Fingerprint Rules パネルで、Add Rule をクリックします。

     1 つの保護ポリシーは、最大 8 つのフィンガープリントルールをサポートします。

  3. Add Fingerprint Rule パネルで、ルールモードを選択します。

     • 標準モード: フォームでフィールド、数値操作、比較を選択し、複数の条件を AND または OR で組み合わせます。一般的な特徴に適しており、式構文を覚える必要はありません。

     • エキスパートモード: パケットの特徴式を直接記述します。バイトオフセット値、算術演算、ビットごとの演算、およびネストをサポートしています。複雑な特徴シナリオに適しています。

     重要

     2 つのモードで作成されたルールは互いに独立しており、同じリストに共存します。式を完全に保つため、ルール作成後にモードを変更することはできません。別のモードを使用するには、ルールを削除して再作成してください。

  4. 標準モード を選択した場合は、ルール条件 を次のように設定します。

     • 1. フィールドを選択：照合するパケットフィールドを選択します。サポートされているフィールドと有効な値については、このトピックのサポートされているフィールドと有効な値をご参照ください。

     • 2. 数値演算: 任意。 まずフィールド値に対して演算を実行し、その結果を比較します。 次の演算子がサポートされています: & (ビット単位の AND)、>> (右シフト)、+、および -。 オペランドには、10 進数または 0x 形式の 16 進数値を指定できます。 アドレスフィールドとバージョンフィールドは数値演算をサポートしていません。

     • 3. 比較照合: 比較演算子を選択して値を入力します。次の演算子がサポートされています: ==、!=、>、<、>=、<=、および in。in 演算子は、in [a, b] フォーマットで範囲照合を実行します。このフォーマットでは、両方のエンドポイントが 10 進数である必要があり、a は b より大きくてはなりません。

     AND または OR をクリックして、条件を追加します。 1 つの指紋ルールは、最大 10 個の ルール条件 をサポートします。

  5. エキスパートモード を選択した場合は、パケット特徴式 フィールドに式を入力します。

     • 式は Wireshark 表示フィルター構文を使用します。例: tcp.srcport >= 80 and tcp.srcport <= 443 and ip.len > 1000。フィールド名を入力すると、オートコンプリートの候補が表示されます。また、構文リファレンスと例 を展開し、フィールドと値 (選択して挿入) のフィールドをクリックして挿入することもできます。

     • 式内のすべてのフィールドはサポートされているフィールドでなければならず、式には少なくとも 1 つのフィールドが含まれている必要があります。

     • プロトコル名の直後に記述されるオフセットはサポートされていません。例：udp[4:2] や ip[8]。代わりにフィールド形式を使用してください。例：udp.payload[4:2]。

     • 1 つのフィンガープリントルールは、最大 20 個のサブ条件をサポートします。

  6. アクション を設定します。これは、特徴の一致後にトラフィックに対して実行するアクションです。 有効な値は、パス、廃棄、送信元IPアドレスの帯域幅の制限、セッション帯域幅の制限、および [監視] です。 送信元IPアドレスの帯域幅の制限 または セッション帯域幅の制限 を選択した場合は、Bandwidth も設定する必要があります。 有効な値は 1～100000 です。

  7. 任意で備考に最大 256 文字まで入力し、OK をクリックします。

  サポートされているフィールドと有効値

  標準モードとエキスパートモードは同じフィールドリストを使用します。次の表で、すべては ==、!=、>、<、>=、<=、および in を指します。

  フィールドカテゴリ	フィールド	サポートされている比較演算子	有効値と説明
  ポート	tcp.srcport, tcp.dstport, udp.srcport, udp.dstport	すべて	0〜65535。10 進数または 0x で始まる 16 進数がサポートされています。
  IP パケット長	ip.len	すべて	1〜1500。単位：バイト。
  データボディ	tcp.payload, udp.payload	==, !=, >, <, >=, <=。in 演算子はサポートされていません。	[offset:bytes] の範囲指定が必要です。offset は 0〜1500、bytes は 1、2、または 4 のみです。比較値は 4 バイト以下の 0x で始まる 16 進数でなければなりません。例：tcp.payload[0:4] == 0x12345678。
  IPv4 アドレス	ip.src, ip.dst, ip.addr	== のみ	ドット付き 10 進表記で、各オクテットは 0〜255 の範囲です。先行ゼロは許可されません。数値演算はサポートされていません。
  IPv6 アドレス	ipv6.src, ipv6.dst	== のみ	完全な形式と :: の圧縮形式の両方がサポートされています。::ffff:1.2.3.4 のような IPv4 マップ形式や fe80::1%eth0 のようなゾーン ID 形式はサポートされていません。数値演算はサポートされていません。
  TCP フラグ	tcp.flags.fin, tcp.flags.syn, tcp.flags.rst, tcp.flags.psh, tcp.flags.ack, tcp.flags.urg, tcp.flags.ecn, tcp.flags.cwr	== のみ	10 進数の 0 または 1 のみ許可されます。0x1 のような 16 進数や 01 のような先行ゼロは許可されません。
  TCP シーケンス番号	tcp.seq, tcp.ack	すべて	0〜4294967295。
  16 ビット値	tcp.window_size_value, tcp.checksum, tcp.urgent_pointer, udp.checksum, ip.id, ip.flags	すべて	0〜65535。ip.flags は 16 ビットのワードです。詳細については、以下の構文ノートをご参照ください。
  UDP パケット長	udp.length	すべて	8〜65535。UDP ヘッダーは固定 8 バイトなので、最小値は 8 です。
  上位層プロトコル番号	ip.proto	すべて	0〜255。一般的な値：TCP は 6、UDP は 17。
  ヘッダー長	ip.hdr_len, tcp.hdr_len	すべて	20〜60。単位：バイト。厳密な == 比較の場合、値は 4 の倍数 (20, 24, 28, ..., 60) でなければなりません。
  プロトコルバージョン	ip.version, ipv6.version	== のみ	ip.version は 4 のみ、ipv6.version は 6 のみ可能です。数値演算はサポートされていません。

  構文ノート

  • 条件を結合するには、小文字の演算子 and と or のみ使用でき、スペースで囲む必要があります。(a)and(b) や大文字の AND、OR は構文エラーになります。

  • 小文字の 0x 16 進接頭辞のみが許可されます。0X1F は拒否されます。

  • ペイロード範囲の区切り文字はコンマではなくコロンです。例：[offset:bytes]。

  • ip.flags は 16 ビットのワードとして処理され、3 ビットの IP フラグと 13 ビットのフラグメントオフセットで構成されます。特定のフラグを照合するには、完全なリテラル値を使用する必要があります。DF フラグが設定されている場合は ip.flags == 0x4000、MF フラグが設定されている場合は ip.flags == 0x2000 と記述します。ip.flags == 2 は MF フラグではなく、フラグメントオフセット 2 に一致します。

  • 数値演算が設定されている場合、比較値は元のフィールド値ではなく演算結果に適用されるため、上記の表の有効値はチェックされません。

  • 1 つのフィンガープリントルールの全長は 3000 文字を超えることはできません。

SIP プロトコル保護

VoIP/音声通信サービス向けに設計された SIP プロトコル保護は、フラグメント化された SIP プロトコルパケットの通過を許可します。また、非 SIP プロトコルパケットのフィルタリング、SIP クライアントの真正性のプロービング、必要に応じた SIP トラフィックのレート制限もサポートします。

• 適用シナリオ：標準クラウド資産では攻撃中に有効です。高機能クラウド資産では常に有効です。

• 保護効果：

  • フラグメント化された SIP プロトコルの IP パケットの通過を許可し、フラグメント化されたパケットの誤ブロックによる VoIP 音声サービスの中断を防ぎます。

  • (オプション) 非 SIP プロトコルブロック：設定された SIP ポート範囲内の非 SIP プロトコルパケットを直接破棄します。

  • (オプション) SIP クライアントプロービング：SIP プロトコルを使用してクライアントを積極的にプロービングし、応答しない、または異常な応答をするクライアントからの後続トラフィックを破棄します。

  • (オプション) SIP 送信元レート制限：単一の送信元 IP アドレスからの SIP パケットに上限レートを適用し、制限を超えたトラフィックを破棄します。

• 設定方法：

  1. ルール設定パネルで、SIP プロトコル保護セクションを見つけ、カードをクリックします。

  2. 右側からスライドして表示される SIP プロトコル保護パネルで、SIP プロトコル保護を有効にするスイッチをオンにします。

  3. 以下のパラメーターを設定し、OK をクリックします。

     • SIP ポート範囲：サービスで使用する SIP ポートを入力します。デフォルト値は 5060 です。単一ポート、複数ポート (カンマ区切り)、連続範囲 (ハイフン区切り)、およびそれらの任意の組み合わせをサポートします。

     • 防御モード：保護レベルを選択します。デフォルトは 通常です。緩い、通常、または 厳格を選択すると、システムはプリセットテンプレートに基づいてパラメーターを自動的に入力し、読み取り専用に設定します。カスタムを選択すると、以下のパラメーターを手動で編集できます。

       防御モード	有効化される緩和機能	有効化しきい値	シナリオ
       緩い	非 SIP プロトコルブロック	2,000 PPS	サービス可用性を最大化します。誤検知に非常に敏感な音声サービスに適しています。
       通常 (デフォルト)	非 SIP プロトコルブロック、SIP クライアントプロービング	1,000 PPS	ほとんどの VoIP サービスに適しています。
       厳格	非 SIP プロトコルブロック、SIP クライアントプロービング、SIP 送信元レート制限	500 PPS + 10 Mbps; 送信元ごとのレート制限：1,000 PPS	持続的な SIP フラッド攻撃を受けているシナリオに適しています。
       カスタム	すべてのパラメーターを手動で設定可能	カスタム	SIP 保護の経験があるユーザーに推奨されます。

     • 有効化しきい値 (カスタムモードでのみ編集可能)：SIP トラフィックがこのしきい値を超えた場合にのみ、保護アルゴリズムが有効になります。

     • 非 SIP プロトコルブロック (カスタムモードでのみ編集可能)：有効にすると、設定された SIP ポート範囲内の非 SIP プロトコルパケットを識別し、直接破棄します。これは、ポートがリフレクション攻撃や不正なペイロードに悪用されている場合に特に効果的です。

     • SIP クライアントプロービング (カスタムモードでのみ編集可能)：有効にすると、SIP プロトコルを使用してクライアントを積極的にプロービングします。応答しない、または異常な応答をするクライアントからの後続トラフィックは破棄され、偽装された送信元やリフレクションボットを効果的に識別します。

     • SIP 送信元レート制限 (カスタムモードでのみ編集可能)：有効にすると、単一の送信元 IP アドレスからの SIP パケットに上限レートを適用します。制限を超えたトラフィックは破棄されます。送信元ごとのレート制限値を指定する必要があります。大量の SIP フラッド攻撃が確認されている場合に推奨されます。

Anti-DDoS Proxy のバックツーオリジンアドレスのホワイトリスト登録

Anti-DDoS Proxy のバックツーオリジン IP アドレスをアクセス制御ホワイトリストに追加します。高機能クラウド資産でのみサポートされます。高機能クラウド資産を保護する場合、トラフィックは Anti-DDoS Proxy のスクラビングセンターを経由してオリジンに転送されます。これを有効にすることで、正当なビジネストラフィックの偶発的なブロックを防ぎます。

設定方法：

1. ルール構成パネルで、Anti-DDoS Premium/Pro (中国本土と中国本土以外) の Back-to-origin アドレスをホワイトリストに加える セクションを探します。

2. スイッチをオンまたはオフにします。高機能クラウド資産には強く推奨されます。

ステップ 3：保護対象の選択

緩和ルールを設定した後、次へ をクリックして保護対象の選択ページに移動します。

1. 保護のアセット ページの 選択するオブジェクト セクションで、このポリシーを適用する保護対象 (パブリック IP アドレス) を選択します。

2. 追加の確認 をクリックします。緩和ポリシーが作成されたら、リストに戻る をクリックします。保護設定 ページで、新しく作成されたポリシーを表示できます。