Alibaba Cloud サービスに対する DDoS 攻撃のトラフィック量がブラックホールトリガー閾値を超えると、サービスはブラックホールフィルタリング状態になります。外部ソースからのすべてのトラフィックが破棄され、関連サービスにアクセスできなくなります。このトピックでは、ブラックホールフィルタリングイベントの詳細を照会する方法について説明します。
背景情報
Alibaba Cloud は、特定の Alibaba Cloud サービス (Anti-DDoS Basic) に対して、500 Mbit/s から 5 Gbit/s の無料の基本的な DDoS 緩和機能を提供しています。DDoS 攻撃のピーク帯域幅が緩和機能を超えると、Alibaba Cloud はブラックホールフィルタリングポリシーを実装し、サービスへのすべてのインバウンドトラフィックをブロックします。これにより、サービスへのより大きな損害を防ぎ、単一の IP アドレスへの DDoS 攻撃がネットワーク上の他のサービスの正常な運用に影響を与えるのを防ぎます。ブラックホールフィルタリングの詳細については、「Alibaba Cloud ブラックホールフィルタリングポリシー」をご参照ください。
Anti-DDoS Basic では、ブラックホールフィルタリングを手動で解除することはできません。ブラックホールフィルタリングは、DDoS 攻撃が一定期間停止した後にのみ自動的に解除されます。
Alibaba Cloud サービスのブラックホールトリガー閾値については、「Anti-DDoS Basic でブラックホールフィルタリングをトリガーするしきい値の表示」および「トラフィックスクラビングのしきい値の設定」をご参照ください。
適用範囲
アセットの IP アドレスが IPv4 アドレスの場合、ブラックホールフィルタリングイベント発生後 7 日以内にのみ詳細を表示できます。アセットの IP アドレスが IPv6 アドレスの場合、ブラックホールフィルタリングイベント発生後 3 時間以内にのみ詳細を表示できます。期間が過ぎると、詳細を見る は選択不可になり、詳細を表示できなくなります。
アセットが AnycastEIP の場合、詳細を見る は選択不可になり、ブラックホールフィルタリングイベントの詳細を表示できなくなります。
アセットが解放された場合、ブラックホールフィルタリングイベントの詳細を表示することはできません。
操作手順
トラフィックセキュリティコンソールにログインし、左側メニューで、[DDoS] を選択します。
左側メニューで、イベントセンター をクリックします。
アセットの IP アドレスを入力し、イベントタイプを ブラックホール に設定し、時間範囲を選択して [検索] をクリックすると、過去のブラックホールフィルタリングイベントが表示されます。
(オプション) 操作 列で 詳細を見る をクリックすると、ブラックホールフィルタリングイベントが発生した際の トラフィック と メッセージ のトレンドチャートが表示されます。
(オプション) 詳細ページの トラフィック推移 セクションで キャプチャのダウンロード をクリックすると、攻撃の証拠をダウンロードできます。
よくある質問
ブラックホールフィルタリングがいつ解除されるか、正確な時刻を知るにはどうすればよいですか。
正確な解除時刻を照会することはできず、手動で解除することもできません。詳細については、「ブラックホールの解除」をご参照ください。
自動解除：
システムは、攻撃が一定期間停止したことを検出した後、ブラックホールフィルタリングステータスを自動的に解除します。事前にブラックホールフィルタリングを手動で解除することはできず、正確な解除時刻を照会したり、サービス復旧時刻を推定したりすることもできません。期間の目安：
デフォルト期間：約 2.5 時間。
範囲：通常 30 分から 24 時間。
影響要因：正確な期間は、攻撃の期間、種類、頻度、および Alibaba Cloud の全体的なネットワーク負荷によって異なります。
IP アドレスがブラックホールフィルタリングされた後、どのドメイン名が影響を受けますか。
ブラックホールフィルタリングは IP アドレスレベルで適用されます。その IP アドレスに解決されるすべてのドメイン名はアクセスできなくなります。
一般的な影響：
ブラックホールフィルタリングポリシーは、アプリケーション層 (ドメイン名) ではなく、IP アドレス層で有効になります。IP アドレスがブラックホールフィルタリングされると、その IP アドレス宛のすべてのインバウンドトラフィックが破棄されます。したがって、ブラックホール化された IP アドレスに解決されるすべてのドメイン名はアクセスできなくなります。WAF (Web アプリケーションファイアウォール) ユーザー向けの特記事項：
リスク：WAF を使用しており、攻撃された IP アドレスが WAF インスタンスの仮想 IP アドレス (VIP) である場合、影響はインスタンス配下のすべてのドメイン名に及ぶ可能性があります。
原因：通常、複数のドメイン名は同じ WAF VIP を共有します。外部トラフィックは、ドメインレベルの転送のために WAF に到達する前に、ネットワーク層の IP アドレス段階で完全にブロックされます。
結果：WAF VIP がブラックホールフィルタリングされると、WAF インスタンスにアタッチされているすべてのドメイン名へのアクセスが同時に中断されます。
トラブルシューティング：影響を受けるドメイン名のリストを確認するには、WAF コンソールにログインし、インスタンスにアタッチされているすべてのドメイン名の設定を表示します。
関連ドキュメント
アンチ DDoS 製品の選び方：Anti-DDoS Basic は、緩和機能が限定された無料サービスです。ビジネスへの影響を避けるために、商用の DDoS 緩和ソリューションを導入してください。
Elastic Compute Service (ECS) インスタンスでブラックホールフィルタリングがトリガーされた後のワークロードの復元：ブラックホールフィルタリングがトリガーされたサーバーに接続して、ファイルを転送したり、設定を変更したりできます。