Alibaba Cloud は、一部のクラウドサービスに対して、500 Mbps から 5 Gbps の無料の Anti-DDoS Basic 緩和容量を提供します。Anti-DDoS Basic は、一般的なネットワーク層およびトランスポート層の DDoS 攻撃を防御します。このトピックでは、Anti-DDoS Basic について説明します。
製品概要
Anti-DDoS Basic は、Alibaba Cloud に組み込まれた無料のセキュリティサービスです。Elastic Compute Service (ECS) インスタンス、Server Load Balancer (SLB) インスタンス、Elastic IP アドレス (EIP) など、パブリック IP アドレスが割り当てられたアセットに対して、無料の DDoS 緩和機能を提供します。Alibaba Cloud でサーバーをレンタルするか、パブリック IP アドレスを持つクラウドサービスを有効化すると、Anti-DDoS Basic は自動的に有効になります。追加の購入や設定は不要で、ネットワーク層およびトランスポート層の攻撃防御とトラフィックスクラビングを提供します。Anti-DDoS Basic はデフォルトで有効になっており、無効にすることはできません。無料の DDoS 緩和機能は 500 Mbps から 5 Gbps です。各クラウドサービスの具体的な緩和機能については、「Anti-DDoS Basic のブラックホールしきい値の表示」をご参照ください。
リソースが頻繁に攻撃される場合、プラットフォーム全体の安定性を維持するために、過去の攻撃レコードに基づいてその緩和機能が調整されます。
通常の状況では、Anti-DDoS Basic が通常のアクセスに影響を与えることは通常ありません。ただし、攻撃手法 (HTTP_Flood、SYN_Flood、ACK_Flood 攻撃など)、攻撃ベクター、およびお客様自身のサービスシナリオ (プラットフォームや製品の仕様を超えるトラフィックなど) によっては、アクセスが影響を受ける可能性があります。Anti-DDoS Basic が要件を満たさない場合は、Anti-DDoS Native や Anti-DDoS Proxy などのより高度な保護サービスを利用できます。詳細については、「Anti-DDoS Native とは」、「Anti-DDoS Proxy とは」、および「Anti-DDoS プロダクトの選択方法」をご参照ください。
仕組み
Anti-DDoS Basic は、デフォルトのスクラビングしきい値を適用しますが、カスタムスクラビングしきい値を設定することもできます。トラフィックスクラビングの条件が満たされると、Anti-DDoS Basic はインターネットからのすべてのトラフィックをフィルタリングおよびスクラビングします。これにより、UDP リフレクション攻撃や SYN/ACK フラッド攻撃など、一般的なネットワーク層およびトランスポート層の攻撃を防御します。Anti-DDoS Basic は、HTTP フラッド攻撃や CC 攻撃などのアプリケーション層攻撃は防御しません。
Anti-DDoS Basic は、設定された BPS/PPS スクラビングしきい値と AI を活用したインテリジェント分析という 2 つの方法を使用して、トラフィックスクラビングをトリガーするタイミングを決定します。Alibaba Cloud のビッグデータ機能を活用し、システムはサービスのトラフィックベースラインを学習し、アルゴリズムを使用して攻撃パターンを識別します。トラフィックスクラビングは、AI 分析が DDoS 攻撃を検出し、かつインバウンドトラフィックが設定した BPS または PPS しきい値を超えた場合にのみトリガーされます。この二重チェックメカニズムは、通常のトラフィックスパイクが固定しきい値を超えた場合に発生する可能性のある誤検知を防ぐのに役立ちます。
インバウンドトラフィックが緩和機能 (ブラックホールトリガーしきい値) を超えると、そのクラウドサービスはブラックホールに追加されます。これにより、DDoS 攻撃がクラウドサービスにさらなる損害を与えるのを防ぎ、1 つのクラウドサービスへの攻撃が他のアセットの正常な運用に影響を与えるのを防ぎます。ブラックホール状態では、Alibaba Cloud は一時的にそのクラウドサービスのインターネットからのインバウンドトラフィックをブロックします。詳細については、「Alibaba Cloud のブラックホールフィルタリングポリシー」をご参照ください。
サポート対象のクラウドサービス
Elastic Compute Service (ECS) インスタンス、Server Load Balancer (SLB) インスタンス、Elastic IP アドレス (EIP)、NAT ゲートウェイに関連付けられた EIP、IPv6 ゲートウェイ、Simple Application Server、Web Application Firewall (WAF) インスタンス、Global Accelerator (GA) インスタンス、および Anycast EIP。
サポート対象リージョン
次の表に、Anti-DDoS Basic がサポートするリージョンを示します。
エリア | リージョン |
アジアパシフィック | タイ (バンコク)、フィリピン (マニラ)、日本 (東京)、インドネシア (ジャカルタ)、マレーシア (クアラルンプール)、韓国 (ソウル)、シンガポール、中国 (香港)、中国 (成都)、中国 (広州)、中国 (河源)、中国 (深セン)、中国 (ウランチャブ)、中国 (フフホト)、中国 (張家口)、中国 (北京)、中国 (青島)、中国 (上海)、中国 (杭州) |
ヨーロッパ & アメリカ | イギリス (ロンドン)、ドイツ (フランクフルト)、米国 (バージニア)、および米国 (シリコンバレー) |
中東 | サウジアラビア (リヤド) および UAE (ドバイ) |
用語
ネットワーク層攻撃：一般的な種類には、UDP リフレクション攻撃、大量の SYN フラッド攻撃、ACK フラッド攻撃、および IP プロトコルに準拠しない不正な形式のパケットが含まれます。これらの攻撃は、サーバーの帯域幅リソースを消費してサービス拒否を引き起こします。
アプリケーション層攻撃：一般的な種類には、HTTP フラッド攻撃、CC 攻撃、DNS フラッド攻撃が含まれます。これらは、サービスの特徴に基づいた枯渇攻撃です。サーバーの処理能力を消費してサービス拒否を引き起こします。
よくある質問
インスタンスが DDoS 攻撃の標的になるのはなぜですか？
ボリューム攻撃などの DDoS 攻撃は、インターネット上で一般的な悪意のある行為です。攻撃者は大規模なボットネットを制御し、標的に対して大量の悪意のあるトラフィックを送信して帯域幅リソースを枯渇させ、正当なユーザーのアクセスを妨げます。
インターネットに公開されているすべての IP アセットは、DDoS 攻撃の標的になる可能性があります。DDoS 攻撃は、特定のユーザーや特定のサービスのみを狙うものではありません。DDoS 攻撃の一般的な理由には、以下が含まれます：
ご利用のサービスがインターネット上で高い可視性を持ち、攻撃者に見つけられやすい。
業界の競争や悪意のある報復による標的型攻撃。
ご利用のサーバーの IP アドレスが攻撃者によってランダムにスキャンされ、攻撃リストに追加される。
Anti-DDoS Basic は異常トラフィックを自動的に検出し、トラフィックスクラビングを開始して攻撃トラフィックをフィルタリングし、通常のサービスアクセスを保護します。攻撃トラフィックが Anti-DDoS Basic の緩和機能を超えた場合は、Anti-DDoS Native または Anti-DDoS Proxy にスペックアップして、より高度な保護レベルを確保してください。
Anti-DDoS Basic は UDP パケットとトラフィックをブロックしますか？
デフォルトでは、Anti-DDoS Basic は特大の UDP パケットとフラグメント化された UDP トラフィックをブロックします。UDP リフレクション攻撃は通常、大きなパケットやフラグメント化されたパケットを使用して攻撃トラフィックを増幅させるため、Anti-DDoS Basic はこのようなトラフィックをフィルタリングおよびブロックすることで、これらの攻撃を効果的に防御できます。
ただし、このブロッキングメカニズムは、大きな UDP パケットやフラグメント化された UDP 伝送に依存する通常のサービスに影響を与える可能性があります。たとえば、大きなまたはフラグメント化された UDP トラフィックがブロックされると、国家標準カスケード接続に GB28181 プロトコルを使用するビデオ監視サービスで、カスケード障害やビデオストリームの中断などの問題が発生する可能性があります。
ご利用のサービスで大きな UDP パケットやフラグメント化された UDP トラフィックを使用する必要がある場合は、Anti-DDoS Proxy などのカスタム UDP 保護ポリシーをサポートする高度な保護サービスにスペックアップしてください。これにより、正当なサービストラフィックが誤ってブロックされるのを防ぎます。詳細については、「Anti-DDoS Native とは」をご参照ください。
参考
各クラウドサービスがサポートする最大のスクラビングしきい値は、クラウドサービスインスタンスの仕様によって異なります。詳細については、「クラウドサービスの仕様とスクラビングしきい値」をご参照ください。
スクラビングしきい値の設定方法については、「トラフィックスクラビングしきい値の設定」をご参照ください。