分散型サービス妨害 (DDoS) 攻撃は、名前解決を遅延または中断させる可能性があります。Alibaba Cloud DNS の [DDOS 攻撃に対する保護] 機能は、お客様のドメイン名を保護し、解決サービスの可用性を維持します。
保護レベル
Alibaba Cloud DNS は 2 つの保護レベルを提供しています。ビジネスニーズに応じて選択できます。
保護レベル | 緩和能力 | シナリオ |
[DNS Anti-DDoS Basic] | インスタンス内のすべてのドメイン名を DNS 攻撃から保護し、最大 1,000 万 QPS の緩和能力を提供します。 | 中程度の強度の DNS 攻撃を受けるサービスに適しています。 |
[DNS Anti-DDoS Advanced] | インスタンス内のすべてのドメイン名を DNS 攻撃から保護します。これには、1 億 QPS を超える大規模な攻撃も含まれます。 | 金融、ゲーム、E コマースなど、高いビジネス継続性が要求されるコアサービスや、大規模な攻撃の標的になりやすいサービスに適しています。 |
注意事項
この機能は、Alibaba Cloud DNS の有料版インスタンスでのみ利用できます。ドメイン名で無料の解決プランをご利用の場合は、この機能を有効にするために有料版にアップグレードする必要があります。
[DDOS 攻撃に対する保護] の有効化
Public Zone DNS Firewall に移動します。
デフォルトで DDOS 攻撃に対する保護 タブが選択されています。このタブには、インターネットの権威ある DNS 解決 で管理されているドメイン名の一覧が表示されます。
ドメイン名の一覧には、[ドメイン名]、[保護ステータス]、[緩和能力]、[操作] の各列が表示されます。保護ステータスが「有効化されていません。セキュリティリスクが存在します。」の場合は、[操作] 列の [保護を有効化] をクリックします。
対象のドメイン名を見つけ、[操作] 列の セキュリティ保護を有効化する をクリックします。表示されるパネルで仕様を選択し、フォームに入力して購入を完了します。
シナリオ 1： ドメイン名で Public Zone の無料版をご利用の場合
解決サービスを有料版にアップグレードしてから、DNS 保護レベルを選択する必要があります。
エディション選択パネルで、Public Zone の有料版を選択します。
[DNS セキュリティ] セクションで、DNS Anti-DDoS Basic または DNS Anti-DDoS Advanced を選択します。
注文情報を確認し、購入を完了します。
購入ページで、[インスタンスタイプ] を [Authoritative Hosted Zone] に、[エディション] を [Personal Edition] に設定します。[DNS セキュリティ] セクションで、[DNS Anti-DDoS Basic] (最大 1,000 万 QPS を緩和) を選択し、[ドメイン名の数] と [サブスクリプション期間] を設定します。
購入ページの [First Bindable Domain] フィールドに、バインドするドメイン名 (例：
test-pre1.top) を入力します。
シナリオ 2： ドメイン名ですでに Public Zone の有料版をご利用の場合
DNS 保護機能を直接購入して追加できます。注：サブスクリプション期間は、Public Zone インスタンスの残りの期間と一致し、コストはそれに応じて日割り計算されます。エディション選択パネルの [DNS セキュリティ] セクションで、DNS Anti-DDoS Basic または DNS Anti-DDoS Advanced を選択します。
注文情報を確認し、購入を完了します。
DDOS 攻撃に対する保護 ページに戻ります。ドメイン名の セキュリティ保護ステータス が 有効化されました になります。
セキュリティダッシュボード
保護を有効にすると、セキュリティ保護ダッシュボード ページでドメイン名のセキュリティステータスを監視し、攻撃データと履歴を表示できるようになります。
インターネットの権威あるファイアウォール をクリックし、対象のドメイン名を選択して、その解決ステータス、DNS 保護の統計 グラフ (過去 7 日間のデータを照会可能)、DNS 保護の履歴 などの情報を表示します。
ドメイン名の解決ステータス： DNS が攻撃を受けている場合、ここにアラートが表示され、テキストメッセージまたは E メールで通知が届きます。
[DNS 保護の統計]： DNS が攻撃を受けている場合、このセクションには異常リクエストの QPS トレンドグラフが表示されます。
[DNS 保護の履歴]： このログには、各攻撃イベントの 時刻 (UTC+8)、保護結果、异常请求QPS が一覧表示されます。
課金
[DDOS 攻撃に対する保護] は、別途購入が必要な付加価値サービスです。価格の詳細については、「製品の課金」をご参照ください。
すでに有料の Public Zone インスタンスに関連付けられているドメイン名に保護機能を追加する場合、保護機能のサブスクリプション期間はインスタンスの残りの期間と一致します。コストは、両方のサービスの有効期限が同時に切れるように日割り計算されます。
Public Zone の有料版の価格については、「製品の課金」をご参照ください。
保護ステータス
DNS クエリ攻撃中、DNS 保護ステータスは、トラフィックスクラビング開始、トラフィックスクラビング終了、ブラックホールフィルタリング開始、またはブラックホールフィルタリング終了のいずれかになります。
トラフィックスクラビング開始： DNS セキュリティシステムが、ドメイン名が大量の異常リクエストを伴う持続的な攻撃を受けていることを検出すると、トラフィックスクラビングポリシーを有効にします。このポリシーは、異常なソースからの DNS クエリを破棄します。
トラフィックスクラビング終了： DNS セキュリティシステムがドメイン名に対する異常リクエストの減少を検出すると、トラフィックスクラビングポリシーを無効にします。
ブラックホールフィルタリング開始： DNS セキュリティシステムが、現在のエディションの緩和能力を超える異常リクエストを伴う持続的で大規模な攻撃を検出すると、そのドメイン名の DNS 解決を無効にします。
ブラックホールフィルタリング終了： ブラックホールフィルタリング中に、DNS セキュリティシステムがドメイン名に対する異常リクエストの量が緩和能力内に収まったことを検出すると、自動的に解決を再開します。変更は、TTL の有効期限が切れた後に適用されます。