分散型サービス拒否 (DDoS) 攻撃は、サービスを妨害する悪意のある試みです。デフォルトでは、Alibaba Cloud は、Global Accelerator インスタンス内のアクセラレーション IP アドレスおよびエンドポイントグループの公開 IP アドレスに対して、Global Accelerator を無料で有効にします。このサービスは悪意のある攻撃から防御し、お客様の GA インスタンスのセキュリティと回復力を向上させます。
仕組み
防御能力
Anti-DDoS Basic は、Global Accelerator インスタンス内のアクセラレーション IP アドレスとエンドポイントグループの公開 IP アドレスに対してデフォルトで有効になっており、最大 5 Gbps の基本的な DDoS 防御を提供します。無料の防御能力はリージョンによって異なります。
各リージョンにおける Anti-DDoS Basic のデフォルトのブラックホールトリガーしきい値については、「Anti-DDoS Basic のブラックホールしきい値」をご参照ください。
Global Accelerator インスタンスの実際のブラックホールしきい値は、そのリージョンと帯域幅の設定によって異なります。 [アセット] ページに表示される値が優先されます。
保護の仕組み
インターネットからのすべてのトラフィックは、Global Accelerator インスタンスに到達する前に DDoS 防御ネットワークを経由します。DDoS 防御ネットワークは、Global Accelerator インスタンスに入るトラフィックをリアルタイムで監視します。ネットワークが異常に大量のトラフィックや DDoS 攻撃などの他の異常なトラフィックを検出すると、Anti-DDoS Basic は疑わしいトラフィックを元のネットワークパスからスクラビングデバイスにリダイレクトします。このリダイレクトは、通常のサービスに影響を与えることなく行われます。スクラビングデバイスは、悪意のあるトラフィックを特定して削除します。残りの正当なトラフィックは、元のネットワークに再度注入され、ターゲットの Global Accelerator インスタンスに転送されます。このプロセスはトラフィックスクラビングと呼ばれます。
インバウンドトラフィックが防御能力を超えると、クラスター全体を保護するためにブラックホールにルーティングされます。その後、すべてのインバウンドトラフィックはドロップされます。詳細については、「Alibaba Cloud ブラックホールポリシー」をご参照ください。
トラフィックスクラビングは、次の条件によってトリガーされます：
トラフィックパターン：トラフィックが既知の攻撃モデルのシグネチャと一致する場合。
トラフィック量：Anti-DDoS Basic は、アクセラレーション IP アドレスとエンドポイントグループの公開 IP アドレスの帯域幅に基づいて、スクラビングしきい値を自動的に設定します。トラフィックがこのしきい値に達すると、たとえそれが正当なトラフィックであっても、トラフィックスクラビングが開始されます。
トラフィックスクラビングの方法には、攻撃パケットのフィルタリング、トラフィックのレート制限、パケットのレート制限などがあります。Anti-DDoS Basic は、次のスクラビングしきい値を使用します：
BPS スクラビングしきい値：ビット/秒単位のインバウンドトラフィックレートがこのしきい値を超えると、スクラビングが開始されます。
PPS スクラビングしきい値：1 秒あたりのインバウンドパケット数がこのしきい値を超えると、スクラビングが開始されます。
スクラビングしきい値
Global Accelerator インスタンス内のアクセラレーション IP アドレスとエンドポイントグループの公開 IP アドレスのスクラビングしきい値を、次の表に示します。
表 1. 最大 BPS スクラビングしきい値
IP 帯域幅 (Mbps) | 最大 BPS しきい値 (Mbps) |
≤ 300 | 450 |
> 300 | IP 帯域幅 × 1.5 |
表 2. 最大 PPS スクラビングしきい値
IP 帯域幅 (Mbps) | 最大 PPS しきい値 (pps) |
≤ 100 | 100,000 |
> 100 | IP 帯域幅 × 1,000 |
IP 帯域幅は、次のように計算されます：
アクセラレーション IP アドレスの IP 帯域幅：アクセラレーションエリアに割り当てられた帯域幅の値。
エンドポイントグループの公開 IP アドレスの帯域幅の値は、Global Accelerator インスタンスの課金方法と帯域幅計測方法によって決まります。
課金方法
帯域幅計測方法
IP 帯域幅
サブスクリプション
帯域幅課金 (基本帯域幅プランに関連付け)
基本帯域幅プランのピーク帯域幅
従量課金
データ転送量課金 (CDT によって決済)
1,200 Mbps
例えば、アクセラレーション IP アドレスのアクセラレーションエリアに 100 Mbps の帯域幅が割り当てられ、関連する基本帯域幅プランのピーク帯域幅が 200 Mbps である標準のGlobal Accelerator インスタンスを考えてみましょう。
アクセラレーション IP アドレスの防御しきい値：最大 BPS スクラビングしきい値は 450 Mbps、最大 PPS スクラビングしきい値は 100,000 pps です。
エンドポイントグループの公開 IP アドレスの防御しきい値：最大 BPS スクラビングしきい値は 450 Mbps、最大 PPS スクラビングしきい値は 200,000 pps です。
Global Accelerator の防御しきい値の表示
- Global Acceleratorコンソールにログインします。
インスタンス ページで、インスタンス ID をクリックします。
基本 Global Accelerator インスタンスの防御しきい値を表示するには、Global Accelerator コンソールの左側メニューから 基本インスタンス を選択し、基本インスタンスのリストを開きます。
Global Accelerator インスタンスのアクセラレーション IP アドレスまたはそのエンドポイントの公開 IP アドレスの防御しきい値を表示します。
DDoS 防御ステータスは、保護中、クリーニング中、または ブラックホールフィルタリング のいずれかです。DDoS 防御アイコンの色はステータスによって異なります。詳細はツールチップで確認できます。
アクセラレーション IP アドレス
インスタンス詳細ページで、アクセラレーションエリア タブをクリックし、対象のアクセラレーション IP アドレスを見つけます。セキュリティ保護 列で、DDoS 防御アイコンにカーソルを合わせます。ツールチップには、アクセラレーション IP アドレスの BPS スクラビングしきい値、PPS スクラビングしきい値、およびブラックホールしきい値が表示されます。
エンドポイントグループの公開 IP
このセクションは、標準のGlobal Accelerator インスタンスにのみ適用されます。
インスタンス詳細ページで、リスナー タブをクリックし、対象のエンドポイントグループのリスナーの ID をクリックします。
リスナー詳細ページで、エンドポイントグループ タブをクリックします。公開 IP アドレスのある対象のエンドポイントグループを見つけ、DDoS 防御アイコンにカーソルを合わせます。ツールチップには、エンドポイントグループの公開 IP アドレスの BPS スクラビングしきい値、PPS スクラビングしきい値、およびブラックホールしきい値が表示されます。
関連操作
スクラビングしきい値の設定：デフォルトでは、Global Accelerator は IP 帯域幅に基づいて最大の Anti-DDoS Basic 防御しきい値を適用します。しかし、特定の IP 帯域幅では、最大の BPS スクラビングしきい値が高すぎて効果的な保護ができない場合があります。そのため、ビジネスニーズに合わせてスクラビングしきい値を調整する必要があります。詳細については、「トラフィックスクラビングしきい値の設定」をご参照ください。
他の DDoS 防御サービスの購入：Anti-DDoS Basic は基本的なセキュリティのみを提供します。より強力な保護が必要な場合は、GA インスタンスを Anti-DDoS Origin または Anti-DDoS Pro/Premium に関連付けることができます。