ApsaraDB RDS は、ネットワーク層攻撃とアプリケーションレイヤー攻撃の両方からデータベースインスタンスを保護します。この機能には、DDoS 攻撃の緩和 (トラフィックスクラビングとブラックホールフィルタリング) と SQL インジェクション検出が含まれます。
インターネット経由ではなく、内部ネットワーク経由で RDS インスタンスに接続してください。これにより、DDoS 攻撃を防ぐことができます。
DDoS 攻撃の緩和
ボリューム型ネットワーク攻撃は、RDS インスタンスにインターネットトラフィックを大量に送り込み、その容量を使い果たして正当なユーザーへのサービス拒否を引き起こします。RDS は、これらの攻撃に対して自動的に 2 つの段階で防御します。
-
トラフィックスクラビング — 悪意のあるトラフィックをフィルタリングしながら、インスタンスへのアクセスを維持します。
-
ブラックホールフィルタリング — スクラビングで攻撃を抑制できない場合、またはブラックホールのトリガーしきい値に達した場合に適用されます。基盤となるインフラストラクチャを保護するため、すべてのインバウンドインターネットトラフィックをドロップします。
両方の段階は、自動的にトリガーされ、解除されます。
トラフィックスクラビング
トラフィックスクラビングは、インバウンドインターネットトラフィックのみを対象とし、内部ネットワーク接続や通常のデータベース操作には影響しません。
スクラビングは、以下のいずれかのしきい値に達するとトリガーされます。
| 指標 | しきい値 |
|---|---|
| 秒間パケット数 (PPS) | 30,000 |
| ビット/秒 (BPS) | 180 Mbit/s |
| 毎秒の新規同時接続数 | 10,000 |
| アクティブな同時接続数 | 10,000 |
| 非アクティブな同時接続数 | 100,000 |
ブラックホールフィルタリング
ブラックホールフィルタリングは、最後の手段です。トリガーされると、RDS インスタンスへのすべてのインバウンドインターネットトラフィックがネットワークレベルでドロップされ、インスタンスはインターネットからアクセスできなくなります。インターネット経由で接続するアプリケーションは、フィルタリングが解除されるまで利用できなくなります。
内部ネットワーク接続は、ブラックホールフィルタリングの影響を受けません。
ブラックホールフィルタリングは、以下のいずれかの条件が満たされるとトリガーされます。
-
BPS が 2 Gbit/s に達した場合。
-
トラフィックスクラビングで攻撃を抑制できない場合。
ブラックホールフィルタリングは、2.5 時間後に自動的に解除されます。