悪意のある攻撃やトラフィックの盗用は、帯域幅やトラフィックの急増を引き起こし、予期せぬ高額請求につながる可能性があります。発生した料金はお客様の負担となります。このトピックでは、これらのリスクを軽減し、コストを管理する方法について説明します。
潜在的なリスク：悪意のあるアクセスによる高額請求
-
攻撃中、CDN と の帯域幅リソースが消費されます。したがって、発生したトラフィック料金および帯域幅料金はお客様の負担となります。
-
悪意のあるトラフィック消費による帯域幅の急増は、攻撃に似ています。このアクティビティは CDN または の帯域幅リソースを消費するため、発生したトラフィック料金および帯域幅料金はお客様の負担となります。
関連リスク：請求額がアカウント残高を超える可能性
悪意のある攻撃やトラフィックの盗用は、高額請求につながりやすく、多くの場合、アカウントの残高を超えてしまいます。
Alibaba Cloud CDN と は従量課金制のサービスです。請求額は、請求サイクル (時間単位、日単位、月単位など) や請求処理の遅延などの要因に影響されます。Alibaba Cloud CDN と の場合、請求書は 3～4 時間遅れて生成されます。そのため、アカウントの残高がゼロになっても、サービスはすぐに停止されません。これにより、延滞金額が発生したり、1 回の請求による延滞金額がサービス停止の与信限度額を超えたりする可能性があります。
Alibaba Cloud は、サービス停止保護機能を提供しています。このサービスを有効にすると、アカウントで支払い遅延が発生した場合、Alibaba Cloud は顧客レベルや利用履歴などの要因に基づいて、与信または猶予期間を提供します。これにより、限られた期間、クラウドサービスを引き続き利用できます。与信限度額は毎月自動的に計算され、更新されます。
緩和戦略
-
Alibaba Cloud CDN 製品は、デフォルトではアクセス制御機能やセキュリティ保護機能を提供しません。Alibaba Cloud CDN は、お客様の帯域幅の急激な増加を検出します。異常なトラフィックが検出された場合、すべてのユーザーのネットワークの安定性を確保するため、Alibaba Cloud はお客様の通常の業務トラフィック量と異常なトラフィックの全体的な負荷に基づき、トラフィックの急増に対してトラフィックスロットリングやサンドボックス化などの措置を適用するかどうかを評価します。(トラフィックスロットリングやサンドボックス化は、常にトリガーされるわけではありません。詳細については、使用制限の「バースト帯域幅/QPS スロットリングルール」をご参照ください。) Alibaba Cloud は、これらの措置に起因する可用性の問題について、一切の責任を負いません。
-
サービスの安定した運用を確保し、高額請求を回避するために、このトピックで説明されている保護機能とアクセス制御設定を有効にすることを推奨します。
アクセス制御の有効化
トラフィックが急増した場合は、まずリアルタイムログを分析して原因を特定してください。詳細については、CDN の「リアルタイムログ配信の設定」および DCDN の「」をご参照ください。分析結果に基づいて、コンソールで適切なアクセス制御機能を設定し、不要なトラフィックと帯域幅の消費を防いでください。
|
アクセス制御機能 |
説明 |
|
Referer ブラックリストまたはホワイトリストの設定 |
この機能は、リクエストの Referer ヘッダーに基づいてリクエストを許可またはブロックすることで、ホットリンクを防ぎます。ホワイトリストを設定して一致する Referer からのリクエストのみを許可したり、ブラックリストを設定してそれらをブロックしたりできます。設定手順については、CDN の「Referer ブラックリストまたはホワイトリストの設定」および DCDN の「」をご参照ください。 |
|
URL 署名の設定 |
URL 署名機能は、Alibaba Cloud CDN POP とお客様のオリジンサーバーを連携させることで、リソースのホットリンクを防止するための安全で信頼性の高い方法を提供します。 ビジネス要件を満たすルールを設定するには、URL 署名の設定をご参照ください。 |
|
リモート認証の設定 |
リモート認証機能は、Alibaba Cloud CDN / の POP (Point of Presence) を介して、ユーザーリクエストを指定された認証サーバーに転送します。その後、認証サーバーがリクエストを検証し、許可されていないユーザーがリソースにアクセスするのを厳密に防ぎます。「リモート認証の設定」の手順に従って、ビジネスニーズに固有のルールを設定できます。 |
|
IP アドレスのブラックリストまたはホワイトリストの設定 |
悪意のある攻撃やトラフィックの急増の後、を介して設定されたリアルタイムログを分析し、アクセス頻度の高い IP アドレスを特定してください。悪意のある IP アドレスを特定した場合は、IP アドレスのブラックリストまたはホワイトリスト機能を使用してそれらをブロックできます。詳細については、CDN の「IP アドレスのブラックリストまたはホワイトリストの設定」および DCDN の「」をご参照ください。 |
|
User-Agent ブラックリストまたはホワイトリストの設定 |
悪意のある攻撃やトラフィックの急増の後、を介して設定されたリアルタイムログを分析し、悪意のあるアクティビティが特定の User-Agent から発信されているかどうかを確認してください。悪意のある User-Agent を特定した場合は、User-Agent ブラックリストまたはホワイトリスト機能を使用してこれらのリクエストをブロックできます。詳細については、CDN の「User-Agent ブラックリストまたはホワイトリストの設定」および DCDN の「」をご参照ください。 |
トラフィック管理の有効化
CloudMonitor を使用して、製品レベルまたはドメインレベルの帯域幅監視ルールを設定し、トラフィックと帯域幅の使用状況を追跡し、異常に関するアラートを受信できます。詳細については、「アラートルールの設定」をご参照ください。予期しない帯域幅の急増が発生した場合は、ドメインに対して帯域幅スロットリングやトラフィックスロットリングなどのポリシーを設定することもできます。
|
トラフィック管理機能 |
説明 |
|
帯域幅上限の設定 |
ドメイン名の最大帯域幅を制限したい場合は、[帯域幅上限] 機能を使用できます。設定した帯域幅のしきい値に達すると、CDN と はドメイン名のアクセラレーションサービスの提供を停止し、無効なアドレスに解決することで高額請求を回避できます。詳細については、「帯域幅上限」をご参照ください。 |
|
個別リクエストの速度制限の設定 |
個別リクエストの速度制限 機能は、CDN POP がユーザーにコンテンツを配信する下り速度を制限します。この機能は、ネットワーク全体のアクセラレーションドメインのピーク帯域幅を制御することで、新しいゲームのリリースなどのプロモーションイベント中のトラフィックを管理するためによく使用されます。詳細については、「個別リクエストの速度制限の設定」をご参照ください。 |
|
帯域幅スロットリングの設定 |
Alibaba Cloud CDN/ を使用するドメイン名の帯域幅を制限する必要があり、1 日のピーク帯域幅が 10 Gbps を超える場合は、かチケットを送信して、バックエンド設定をリクエストできます。 重要
|
|
リアルタイム監視の設定 |
ドメイン名のピーク帯域幅をリアルタイムで監視したい場合は、CloudMonitor の [Cloud Product Monitoring] 機能を使用して、CDN または の指定されたドメイン名のピーク帯域幅の監視を設定できます。設定したピーク帯域幅に達すると、管理者宛にアラート (SMS、メール、または DingTalk) が送信され、潜在的なリスクをより迅速に検出できます。詳細については、CloudMonitor 製品詳細ページをご参照ください。 |
|
支出とコストのアラート設定 |
[コンソール] の上部のナビゲーションバーで、[費用] > [費用とコスト] を選択します。アカウントの支出をより適切に管理し、高額な請求を回避するには、次の機能を設定します。
説明
メータリングデータの完全性と請求の正確性を確保するため、CDN と 製品では、最終的な請求書が生成されるまでに請求サイクルの終了後約 3 時間かかります。そのため、リソースの消費時間と実際の支払い控除の間には遅延があり、請求書はリソース使用量をリアルタイムでフィードバックできません。これは、CDN と の POP (Point of Presence) の分散型の性質によって決まります。すべての CDN と サービスプロバイダーは、同様の方法を使用しています。 |
保護機能の有効化
アクセス制御とトラフィック管理機能がセキュリティニーズを満たさない場合は、Edge Security Acceleration (ESA) を有効にすることを推奨します。ESA は、ネイティブの DDoS 保護やネイティブの Web アプリケーションファイアウォール (WAF) など、包括的なセキュリティ機能を提供します。Alibaba Cloud 独自の機械学習アルゴリズムを使用して、すべてのリクエストの脅威を検出し、サービスにエンドツーエンドの保護を提供します。詳細については、「ESA セキュリティ保護」および「CDN、DCDN、ESA の機能比較」をご参照ください。
|
攻撃タイプ |
概要 |
保護対策 |
|
DDoS 攻撃 |
アプリケーション層の攻撃には、HTTP GET フラッド、HTTP POST フラッド、CC 攻撃 (Challenge Collapsar) が含まれます。 これらの攻撃は、検索エンジンや Web クローラーからのリクエストなど、正当なユーザーリクエストを模倣するため、通常のトラフィックと区別することが困難です。 これらの攻撃は、データベースクエリやページレンダリングなど、Web サーバー上のリソースを大量に消費する操作を標的にすることがよくあります。攻撃者は、これらの操作に対して大量の同時リクエストを行うことで、Web サービスを圧倒することができます。 現代の攻撃は、しばしばハイブリッド型です。自動化された投票スクリプトなど、頻繁に行われるシミュレートされたユーザーアクションは、すべて CC 攻撃と見なされる可能性があります。 CC 攻撃は Web アプリケーションのバックエンドを標的とし、サービス拒否につながるだけでなく、Web の応答時間、データベースサービス、ディスク I/O などのパフォーマンスを低下させます。 |
ESA は、デフォルトで DDoS 保護 機能を統合しており、階層化された防御システムを使用して攻撃の影響を迅速に緩和し、ビジネスのダウンタイムを大幅に削減し、攻撃中も Web サイトの可用性を確保します。ESA は、デフォルトで DDoS 保護を提供します。サブスクリプションプランに応じて、ESA はさまざまなレベルの DDoS 保護を提供し、サービスのダウンタイムを削減し、Web サイトができるだけ早く通常の運用を再開できるようにします。 |
|
トラフィックの盗用 |
|
|
関連トピック
セキュリティ関連の問題と解決策の詳細については、「セキュリティ保護に関する FAQ」をご参照ください。