Anti-DDoS Native は、Alibaba Cloud サービスの DDoS 緩和機能を直接強化するセキュリティサービスです。ネットワークアーキテクチャを変更することなく、クラウドサービスを保護します。インスタンスを購入し、IP アドレスを関連付けると、数分以内に保護が有効になります。Anti-DDoS Native は、主にレイヤー 3 およびレイヤー 4 のボリューム型 DDoS 攻撃を緩和し、低コストでベースラインの DDoS 防御を迅速に強化したい場合に適しています。
概念
DDoS 攻撃：分散型サービス妨害 (DDoS) 攻撃は、悪意のあるトラフィックでネットワークやデバイスのリソースを消費し、サービスを利用できない状態にします。詳細については、「DDoS 攻撃とは」をご参照ください。
仕組み
Anti-DDoS Native は、Alibaba Cloud データセンターの出口に DDoS 攻撃検出システムとトラフィックスクラビングシステムを配備する、バイパスデプロイメントモードを使用します。主にしきい値ベースのスクラビングを使用し、アクティブブロッキングで補完することで、正規のワークロードに影響を与えることなく DDoS 攻撃トラフィックを識別してスクラビングします。
攻撃検出：システムは、パブリック IP アドレスを通過するトラフィックをリアルタイムで監視します。
トラフィックスクラビング：インバウンドトラフィックがスクラビングのしきい値を超えると、システムはトラフィックを自動的にスクラビングセンターにリダイレクトします。
トラフィックの再注入：スクラビングセンターが攻撃トラフィックを破棄した後、クリーンなサービストラフィックをオリジンサーバーに再注入し、攻撃が継続している間もサービスへのアクセスを維持します。
利点
即時デプロイメント：購入後に保護が有効になり、デプロイメントは最短 1 分で完了します。緩和機能はクラウドサービスに直接適用されるため、IP アドレスのデプロイや置換は不要です。
エラスティック防御：大規模な攻撃が発生した場合、システムは現在のリージョンにあるすべての DDoS 緩和リソースを自動的に使用し、無制限の保護を提供します。
マルチキャリア BGP アクセス：Border Gateway Protocol (BGP) 帯域幅により、単一の IP アドレスで China Telecom、China Unicom、China Mobile などのキャリアネットワークをまたいで高速アクセスを提供します。
大規模なスクラビングキャパシティ：十分なスクラビング帯域幅により、大規模なプロモーションイベント、新製品のローンチ、重要なワークロードのセキュリティニーズに対応します。
柔軟な共有：複数の IP アドレスが同じ保護インスタンスを共有し、複数のアセットの緩和ニーズに対応できます。
サポートされるクラウドサービスタイプ
比較項目 | 標準クラウドサービス | 拡張クラウドサービス |
定義 | 標準の ECS インスタンス、EIP、SLB インスタンスなど、デフォルトの Alibaba Cloud DDoS 緩和機能を備えたクラウドサービス。 | 購入時に強化された DDoS 保護が有効になるクラウドサービス。現在、これは [Anti-DDoS (Enhanced Edition) EIP] (Anti-DDoS Advanced EIP) のみを指します。 |
緩和ポリシーが有効になる仕組み | ブラックリストやホワイトリスト、ロケーションブラックリストポリシーなどの緩和ポリシーは、アセットが攻撃を受け、そのトラフィックがスクラビングされている場合にのみ有効になります。 | 緩和ポリシーは 常に有効 です。すべてのトラフィックはスクラビングセンターによって処理されます。 |
緩和機能 | 中国本土では数百 Gbps に達するリージョンレベルのスクラビングキャパシティを共有します。 | Tbps レベルの無制限の保護を提供します。 |
購入設定 | EIP の購入時に、Security Protection を Default に設定します。 | EIP の購入時に、Security Protection を Anti-DDoS (Pro/Premium) に設定します。 |
Anti-DDoS Native のエディション
カテゴリ | インスタンスエディション | 説明 |
Anti-DDoS Native 1.0 (サブスクリプション) | Enterprise | 新規購入はできなくなりました。 |
Anti-DDoS Native 2.0 (サブスクリプション) | SMB、Enterprise | 標準クラウドサービスと Anti-DDoS Advanced EIP (DDoS 保護が強化された EIP) アセットをサポートします。SMB は標準クラウドサービスのみをサポートし、Anti-DDoS Advanced EIP はサポートしません。
|
Anti-DDoS Native 2.0 (従量課金) | Enterprise | 新規購入はできなくなりました。標準クラウドサービスと拡張クラウドサービスをサポートします。 |
インスタンス仕様の比較
比較項目 | Anti-DDoS Native 1.0 | Anti-DDoS Native 2.0 サブスクリプション | Anti-DDoS Native 2.0 従量課金 (新規購入はできなくなりました) | |
Enterprise | SMB | Enterprise | Enterprise | |
保護対象オブジェクト | Alibaba Cloud サービス：ECS、SLB、EIP (NAT ゲートウェイに関連付けられた EIP を含む)、IPv6 ゲートウェイ、Simple Application Server、WAF、GA |
| ||
課金方法 | サブスクリプション | サブスクリプション | サブスクリプション | 従量課金 |
緩和セッション | 無制限 | 月あたり 2 回 | 無制限 | 無制限 |
保護対象アセットタイプ | 標準クラウドサービス | 標準クラウドサービスと拡張クラウドサービス (Anti-DDoS Advanced EIP) | ||
保護対象アセットのリージョン数 | 1 つのリージョンでパブリック IP アドレスが割り当てられているアセットを保護します。 | 1 つのリージョンでパブリック IP アドレスが割り当てられているアセットを保護します。 | 現在の Alibaba Cloud アカウント下のすべてのリージョンでパブリック IP アドレスが割り当てられているアセットを保護します。 | 現在の Alibaba Cloud アカウント下のすべてのリージョンでパブリック IP アドレスが割り当てられているアセットを保護します。 |
保護対象アセットのネットワークタイプ | IPv4 または IPv6 のいずれか 1 種類のパブリック IP アドレスが割り当てられているアセットを保護します。 | IPv4 または IPv6 のいずれか 1 種類のパブリック IP アドレスが割り当てられているアセットを保護します。 | パブリック IP アドレスが割り当てられている IPv4 と IPv6 の両方のアセットを保護します。 | パブリック IP アドレスが割り当てられている IPv4 と IPv6 の両方のアセットを保護します。 |
保護対象 IP アドレス数 | インスタンスの購入時に 100 から始まり、クォータを自由に指定できます。 | インスタンスの購入時に 1 ～ 29 を選択できます。 | インスタンスの購入時に 30 ～ 2,000 を選択できます。 より高い仕様については、営業担当者にお問い合わせください。 | 最大 2,000。 |
クリーン帯域幅 | インスタンスの購入時に帯域幅を自由に選択でき、上限なく拡張できます。 | インスタンスの購入時に 50 Mbps ～ 1,000 Mbps を選択できます。 | インスタンスの購入時に 100 Mbps から始まります。帯域幅を自由に選択でき、上限なく拡張できます。標準クラウドサービスには帯域幅の制限はありません。拡張クラウドサービス (Anti-DDoS Advanced EIP) には帯域幅の制限があります。 |
|
バースト可能なクリーン帯域幅 | サポートされていません。 | サポートされています。日次 95 パーセンタイルメータリング方式がデフォルトで有効になっています。有効にすると、サポートされる合計クリーン帯域幅は、保証されたクリーン帯域幅の 5 倍になります。 | 該当なし。 | |
SLS ログ | サポートされています。 | サポートされていません。 | サポートされています。 | サポートされています。 |
マルチアカウント管理 | サポートされていません。 | サポートされていません。 | サポートされています。 | サポートされています。 |
保護性能の比較
Anti-DDoS Native には、バージョン 1.0 と 2.0 があります。バージョン 1.0 は新規購入できなくなりました。次の表は、バージョン 2.0 のみの緩和機能の参考値を示しています。
Anti-DDoS Native は「無制限の保護」モデルを使用します。その緩和機能は固定値ではなく、クラウドデータセンターの全体的な緩和キャパシティに基づいて動的に調整されます。緩和キャパシティは通常、Alibaba Cloud がネットワークインフラストラクチャを拡張するにつれて増加しますが、リソースの制約などの特殊なケースでは一時的に減少することもあります。
リージョン | Anti-DDoS Native 2.0 (サブスクリプション) SMB | Anti-DDoS Native 2.0 (サブスクリプション) Enterprise | Anti-DDoS Native 2.0 (従量課金) Enterprise (新規購入はできなくなりました) | |||
標準クラウドサービス | 標準クラウドサービス | 拡張クラウドサービス | 標準クラウドサービス | 拡張クラウドサービス | ||
中国本土 | 中国 (北京)、中国 (上海)、 中国 (杭州)、中国 (深圳)、中国 (ウランチャブ)、中国 (張家口)、中国 (フフホト)、中国 (河源) | 最大 300 Gbps ～ 600 Gbps。 | 最大 Tbps レベル。 中国 (北京)、中国 (上海)、中国 (杭州) でのみ購入可能です。 | 最大 300 Gbps ～ 600 Gbps。 | 最大 Tbps レベル。 中国 (北京)、中国 (上海)、中国 (杭州) でのみ購入可能です。 | |
中国 (成都)、中国 (広州)、中国 (青島) | 最大数十 Gbps。 | 最大数十 Gbps。 | ||||
中国本土以外 | 中国 (香港)、シンガポール、ドイツ (フランクフルト)、米国 (シリコンバレー)、米国 (バージニア)、フランス (パリ) | 最大 100 Gbps ～ 200 Gbps。 | 最大 Tbps レベル。 | 最大 100 Gbps ～ 200 Gbps。 | 最大 Tbps レベル。 | |
日本 (東京) | 最大数十 Gbps。 | 最大 Tbps レベル。 | 最大数十 Gbps。 | 最大 Tbps レベル。 | ||
その他のリージョン | 限定的な緩和機能 (10 Gbps 未満)。 | 最大 Tbps レベル。 | 限定的な緩和機能 (10 Gbps 未満)。 | 最大 Tbps レベル。 | ||
Anti-DDoS Native の使用開始
Anti-DDoS Native インスタンスを購入します。Anti-DDoS Advanced EIP アセットを追加するには、まずサービスリンクロール (SLR) の承認を完了します。詳細については、「保護の承認 (初回購入)」をご参照ください。
パブリック IP アドレスが割り当てられているアセットを、保護対象オブジェクトとしてインスタンスに追加します。詳細については、「保護対象オブジェクト」をご参照ください。
サービスのトラフィック特性に基づいて、カスタム緩和ポリシーを設定します。詳細については、「保護設定」をご参照ください。
サービストラフィックのモニタリングデータを表示します。詳細については、「ビジネスモニタリング」をご参照ください。
緩和ログを有効にします。緩和分析を使用して緩和ログのクエリと分析を行い、組み込みの緩和レポートを表示します。詳細については、「緩和分析を有効にする」をご参照ください。
パブリック IP アドレスが割り当てられたアセットが攻撃された後、攻撃イベントの詳細を表示します。詳細については、「攻撃分析」をご参照ください。
ブラックホールイベントとスクラビングイベントを表示します。詳細については、「イベントセンター」をご参照ください。
よくある質問 (FAQ)
Anti-DDoS Native と Anti-DDoS Proxy の違いは何ですか？
比較項目
Anti-DDoS Native
Anti-DDoS Proxy
主な位置づけ
クラウドサービスの保護を強化します。
独立したプロフェッショナルレベルの保護。
アクセス方法
既存のパブリック IP アドレスに関連付けます。IP アドレスの置換は不要です。
サービストラフィックを Anti-DDoS Proxy インスタンスの IP アドレスにルーティングします。
緩和機能
リージョンレベルで共有され、上限 (Gbps レベル) があります。
独立したリソースにより、最大 Tbps レベル、より高い SLA を提供します。
適用シナリオ
ベースラインの防御を便利かつ低コストで強化します。
非常に大規模な攻撃に耐える必要がある重要なワークロード。
コスト
比較的安価。
比較的高価。
Anti-DDoS Native は CC 攻撃 (アプリケーションレイヤー攻撃) を防御できますか？
いいえ。Anti-DDoS Native は、主に UDP フラッドや SYN フラッドなどのレイヤー 3 およびレイヤー 4 のボリューム型攻撃を緩和します。