クラウド製品へのインバウンドトラフィックが特定の条件を満たすと、Anti-DDoS Basic はトラフィックスクラビングを実行し、サービスの可用性を確保します。本トピックでは、トラフィックスクラビングのしきい値を設定する方法について説明します。
トラフィックスクラビングとは
DDoS 攻撃時には、トラフィックスクラビングでは、Anti-DDoS Basic がネットワークトラフィックをリアルタイムで監視、分析、フィルタリングします。悪意のあるトラフィックを正当なトラフィックから分離し、悪意のあるトラフィックをブロックまたはドロップします。このプロセスにより、正当なトラフィックのみがサーバーに到達し、ネットワークサービスの可用性を確保します。
Anti-DDoS Basic は、2つの方法でトラフィックスクラビングをトリガーします。お客様が設定する BPS (ビット/秒) / PPS (秒間パケット数) のスクラビングのしきい値と、AI を活用したインテリジェント分析です。Alibaba Cloud のビッグデータ機能を活用することで、システムはお客様のサービスのトラフィックベースラインを学習し、アルゴリズムを使用して攻撃パターンを識別します。トラフィックスクラビングは、AI 分析が DDoS 攻撃を検出し、かつインバウンドトラフィックがお客様の指定した BPS または PPS のしきい値を超えた場合にのみトリガーされます。この二重チェックメカニズムにより、通常のトラフィックスパイクが固定しきい値を超えた場合に発生する可能性のある誤検知を防ぐことができます。
スクラビングのしきい値
Anti-DDoS Basic では、デフォルトのスクラビングのしきい値を使用するか、カスタムのしきい値を設定できます。
デフォルトのスクラビングのしきい値
Alibaba Cloud は、各クラウド製品のトラフィック負荷に基づいて、スクラビングのしきい値を動的に調整します。この調整は通常、以下の要因に基づいて行われます。
デフォルトのスクラビングしきい値は、通常、設定可能な最大値です。実際のビジネス要件に基づいて、しきい値を下げることができます。
カスタムのスクラビングのしきい値
カスタムのスクラビングしきい値を使用すると、特定のビジネス要件、ネットワーク環境、およびセキュリティポリシーに基づいて、トラフィックスクラビングのトリガー条件をカスタマイズできます。
しきい値の推奨事項と考慮事項
推奨事項
スクラビングのしきい値は、通常のトラフィックベースラインよりもわずかに高く設定する必要があります。しきい値が高すぎると効果的な保護を提供できない可能性があり、しきい値が低すぎると通常のトラフィックに対してトラフィックスクラビングがトリガーされ、正当なアクセスに影響を与える可能性があります。
たとえば、金融取引、重要な政府システム、または以前に少量で高強度の攻撃を受けたことのある小規模な Web サイトなど、セキュリティ要件が高いサービスの場合は、スクラビングのしきい値を下げることができます。これにより、トラフィックが安定している期間に、システムが少量の悪意のあるトラフィックを見落とすのを防ぐことができます。逆に、プロモーションイベント、大規模なゲームトーナメント、または ApsaraVideo Live のピーク時には、しきい値を上げることができます。これにより、正当なトラフィックスパイクによって引き起こされる誤検知を回避できます。
考慮事項
カスタムのしきい値を設定した後：
クラウド製品をアップグレードした場合：カスタムのしきい値が優先され、変更されません。
クラウド製品をダウングレードした場合：
ダウングレード後の新しいデフォルトのスクラビングしきい値がカスタムのしきい値よりも低い場合、設定はデフォルトに戻り、カスタム設定は破棄されます。その後のアップグレードまたはダウングレードでは、スクラビングのしきい値はデフォルトのままになります。
ダウングレード後の新しいデフォルトのスクラビングしきい値がカスタムのしきい値よりも高い場合、カスタムのしきい値が優先され、変更されません。
単一アセットのスクラビングのしきい値の調整
トラフィックセキュリティコンソールの アセット ページに移動します。上部メニューで、アセットのリージョンを選択します。
[ECS] など、対象のクラウド製品のタブをクリックします。
説明スクラビング設定は、IDC CIDR ブロック タブおよび 専用の IP アドレス タブの資産ではサポートされていません。
IP 資産リストで、対象の IP アドレスをクリックします。IP アドレス詳細 パネルで、クリーニング設定 をクリックします。
クリーニング設定 パネルで、[スクラビングしきい値] を設定し、[OK] をクリックします。
[システムデフォルト]: システムは、クラウド製品のトラフィック負荷に応じてスクラビングしきい値を自動的に調整します。
[手動設定]：
スクラビングのしきい値 (BPS (ビット/秒))：しきい値は、インスタンスのパブリック帯域幅の 1.5 倍以下で、かつ 60 Mbps 以上である必要があります。
スクラビングのしきい値 (PPS (秒間パケット数))：しきい値は、インスタンスの PPS 仕様の 1.5 倍以下で、かつ 12,000 pps 以上である必要があります。
複数アセットのスクラビングのしきい値の調整
この機能は、[Anti-DDoS Origin ] でのみ利用できます。
トラフィックセキュリティコンソールの 保護対象 ページに移動します。
上部メニューで、インスタンスが属するリソースグループと、インスタンスが配置されているリージョンを選択します。
Anti-DDoS Origin 1.0 (サブスクリプション) インスタンス：インスタンスが配置されているリージョンを選択します。
Anti-DDoS Origin 2.0 (サブスクリプション) および Anti-DDoS Origin 2.0 (従量課金) インスタンス：[すべてのリージョン] を選択します。
ページの上部で Anti-DDoS Native インスタンスを選択し、クリーニングのしきい値の一括調整 をクリックします。
[スクラビングしきい値] タブで、アセットの IP アドレスを選択し、選択したアセットの BPS しきい値と PPS しきい値を設定します。
スクラビングのしきい値 (BPS (ビット/秒))：しきい値は、インスタンスのパブリック帯域幅の 1.5 倍以下で、かつ 60 Mbps 以上である必要があります。
スクラビングのしきい値 (PPS (秒間パケット数))：しきい値は、インスタンスの PPS 仕様の 1.5 倍以下で、かつ 12,000 pps 以上である必要があります。
重要Anti-DDoS Pro EIP は、スクラビングしきい値の一括変更に対応していません。単一の Anti-DDoS Pro EIP のスクラビングしきい値は、[資産] ページでのみ変更できます。
一度に最大 500 個の IP アドレスのしきい値を調整できます。
一括設定では、同じクラウド製品に属し、同じスクラビングのしきい値を持つアセットを選択してください。
一部のアセットの設定に失敗した場合は、メッセージの指示に従って続行してください。