:Anti-DDoS Origin Basic とブラックホールフィルタリング

仕組み

防御能力

CNAME レコードを使用してドメインを WAF に追加すると、システムは専用の仮想 IP (VIP) を割り当て、サービスのトラフィックを受信します。この VIP は他のテナントと共有されません。同じ WAF インスタンス内では、次のようになります：

• 専用 IP アドレスまたはインテリジェントロードバランシングが有効になっていない場合、すべてのドメインが単一の VIP を共有します。

• 専用 IP アドレスが有効になっている場合、各ドメインには独自の専用 VIP が割り当てられます。

• インテリジェントロードバランシングが設定されている場合、すべてのドメインが複数の VIP を共有します。

Alibaba Cloud は、各 WAF VIP に Anti-DDoS Origin Basic の防御を無料で提供します。 無料の 軽減能力 はリージョンによって異なります。 VIP の防御能力を表示するには、[資産] ページに移動し、[WAF] タブをクリックします。

トラフィックスクラビング

DDoS 攻撃中、Anti-DDoS Origin Basic はネットワークトラフィックを監視、分析、フィルタリングします。悪意のあるトラフィックを識別してブロックし、正当なトラフィックのみが WAF VIP に到達できるようにすることで、サービスの可用性を確保します。

Anti-DDoS Origin Basic は、インバウンドトラフィックがスクラビング条件を満たした場合にトラフィックスクラビングを開始します。インスタンスでトラフィックスクラビングが実行されている間、WAF 3.0 コンソールの上部にあるバナーに通知が表示されます。

• スクラビング条件

  Anti-DDoS Origin Basic は、2 つの条件を使用してトラフィックスクラビングをトリガーします。

  • AI を活用した分析：Alibaba Cloud のビッグデータ機能を活用し、システムは通常のトラフィックベースラインを自動的に学習します。アルゴリズムを使用して異常なトラフィックパターンを識別し、潜在的な DDoS 攻撃を検出します。

  • しきい値検出：インバウンドトラフィック量が設定された BPS/PPS スクラビングしきい値に達します。

  トラフィックスクラビングは、両方の条件が満たされた場合にのみ開始されます。

• スクラビングしきい値

  Anti-DDoS Origin Basic は、攻撃パケットのフィルタリングとトラフィックのレート制限によってトラフィックスクラビングを実行します。システムは、次のメトリックに対してデフォルトのスクラビングしきい値を提供します。

  • BPS (ビット/秒) スクラビングしきい値：インバウンドトラフィックレートがこのしきい値を超えると、トラフィックスクラビングがトリガーされます。

  • PPS (パケット/秒) スクラビングしきい値：インバウンドパケットレートがこのしきい値を超えると、トラフィックスクラビングがトリガーされます。

  WAF のスクラビングしきい値は、サービスの実際の秒間クエリ数 (QPS) によって決まります。次の表に、しきい値の計算方法を示します。

  タイプ	値
  最大 BPS スクラビングしきい値 (Mbps)	MAX(800, QPS*4.5/150)
  最大 PPS スクラビングしきい値 (pps)	MAX(800000, QPS*4.5)

  実際のスクラビングしきい値は、コンソールに表示される値に従います。

• スクラビングしきい値の表示と設定

  スクラビングしきい値は、デフォルトで最大値に設定されています。攻撃がこのしきい値をトリガーするほど大きくない場合は、しきい値を下げることができます。

  1. アセット ページに移動します。 WAF タブをクリックし、対象の VIP を見つけ、トラフィックスクラブ 列で最大 BPS および秒間パケット数 (PPS) のクリーニングしきい値を確認します。

  2. 任意：スクラビングしきい値を変更します。

     1. 対象の VIP を見つけて IP アドレスをクリックします。 IP アドレス詳細 パネルで、クリーニング設定 をクリックします。

     2. クリーニング設定 パネルで、トラフィックスクラブ を設定し、OK をクリックします。

        • デフォルト：Anti-DDoS Origin Basic は、WAF VIP のトラフィック負荷に基づいてスクラビングしきい値を自動的に調整します。

        • 手動設定：

          • BPS しきい値：インスタンスの現在のパブリック帯域幅の 1.5 倍を超えてはならず、60 Mbit/s 以上である必要があります。

          • PPS しきい値：インスタンスの現在の PPS 仕様の 1.5 倍を超えてはならず、12,000 パケット/秒以上である必要があります。

ブラックホールフィルタリング

WAF VIP へのピーク攻撃トラフィック (bps) がその DDoS 防御能力を超えると、VIP はブラックホール状態になります。この状態では、正当なリクエストや攻撃トラフィックを含む、VIP へのすべてのトラフィックが破棄されます。

これが発生すると、WAF 3.0 コンソールの上部にあるバナーに通知が表示されます。

VIP がブラックホール状態になった際の長期的なサービス中断を避けるため、[メッセージセンター] でアラート通知を設定し、アラート連絡先を指定することを推奨します。手順については、「メッセージセンターでアラート通知を設定する」をご参照ください。

ブラックホールフィルタリングへの対応

ブラックホールフィルタリングの回避

• DDoS 防御プロダクトの購入：より高い防御能力はブラックホールのしきい値を引き上げ、DDoS 攻撃中にブラックホールフィルタリングが発生しにくくなります。Anti-DDoS Origin Basic によって提供される保護がビジネスニーズに不十分な場合は、Anti-DDoS Origin や Anti-DDoS Proxy などの DDoS 防御プロダクトを購入して、防御能力を強化することを推奨します。プロダクトの選択に関するガイダンスについては、「DDoS 防御プロダクトの選択方法」をご参照ください。

• 専用 IP アドレスの有効化：デフォルトでは、同じ WAF インスタンス内のすべてのドメインが 1 つの VIP を共有します。[専用 IP アドレス] 機能を有効にすると、システムは特定のドメインに専用の WAF VIP を割り当て、他のドメインから分離します。詳細については、「ドメイン名の専用 IP アドレス」をご参照ください。

  • 専用 VIP と共有 VIP のブラックホール状態は互いに独立しています。

  • 専用 VIP がブラックホール状態になり、専用 IP 機能を無効にすると、元々その IP を標的としていた攻撃トラフィックが共有 VIP にリダイレクトされ、それを使用する他のドメインのサービスに影響を与える可能性があります。

• 共有クラスターベースのインテリジェントロードバランシングの有効化：インテリジェントロードバランシングは、WAF インスタンスに異なるリージョンにある少なくとも 3 つの保護ノードを提供し、自動的なマルチノードのディザスタリカバリを可能にします。インテリジェントな DNS 解決とオリジンへの最短時間アルゴリズムと組み合わせることで、保護ノードからオリジンサーバーへの最短パスと最小レイテンシを保証します。詳細については、「インテリジェントロードバランシング」をご参照ください。

  • あるリージョンの保護ノードが攻撃によってブラックホール状態になると、システムは自動的に正常なノードに切り替えて、オリジンサーバーのサービスを維持します。

    説明

    クライアントまたは中間プロキシがブラックホール状態のノードの DNS レコードをキャッシュしている場合、リクエストがそのノードにルーティングされ続け、失敗する可能性があります。

  • Shared Cluster-based Intelligent Load Balancing を無効にすると、ブラックホール状態になった保護ノードは対応するトラフィックパスを中断させ、オリジンへのサービスアクセスに影響を与えます。

進行中のインシデントへの対応

DDoS 防御サービスを使用すると、VIP のブラックホールフィルタリングを解除してサービスを復旧させることができます。

• DDoS 対策プロダクトを購入していない場合 (Anti-DDoS Origin Basic を使用): ブラックホールフィルタリングの自動解除のみがサポートされており、手動での解除は利用できません。DDoS 攻撃が終了すると、一定時間経過後にシステムが自動的にブラックホールフィルタリングを解除します。トラフィックセキュリティコンソールの 資産 ページで解除予定時刻を確認できます。アカウントに対してブラックホールフィルタリングがトリガーされる頻度が高いほど、その後のブラックホール状態の持続時間は長くなります。

• 購入済みの DDoS 防御プロダクトがある場合：手動および自動の両方の解除がサポートされています。手動解除により、より迅速にサービスを復旧させることができます。詳細については、「ブラックホールフィルタリングの解除」をご参照ください。

よくある質問

攻撃されたドメインの特定

通常、攻撃者は WAF で保護されているドメインを解決してその WAF VIP を取得し、その IP アドレスに対して DDoS 攻撃を開始します。大規模な DDoS 攻撃は主に WAF VIP を標的とするため、攻撃トラフィックだけから標的となったドメインを特定することは不可能です。

WAF VIP の変更によるブラックホール回避

WAF VIP を変更しても、根本的な問題は解決しません。

WAF インスタンスがトラフィックスクラビング中またはブラックホール状態にある間、すべてのドメインを削除して再追加したり、インスタンスをリリースして再購入したりしても、システムは以前に攻撃されたのと同じ WAF VIP を割り当てる可能性があります。攻撃者がドメイン名を標的にしている場合、単にドメインの DNS レコードを解決する (例えば `ping` を使用する) ことで新しい VIP を見つけ、攻撃を続行できます。

DDoS 攻撃と HTTP フラッド攻撃、および WAF

大規模な DDoS 攻撃は主に IP 層 (レイヤー 4) を標的としますが、HTTP フラッド攻撃は HTTP GET/POST フラッドなどでアプリケーション層 (レイヤー 7) を標的とします。WAF は HTTP フラッド攻撃に対して効果的です。しかし、大規模な DDoS 攻撃から防御するには、すべてのトラフィックを吸収してからスクラビングするための十分な帯域幅リソースが必要です。この種の防御には、専用の DDoS 防御サービスが必要です。

Anti-DDoS Proxy と WAF の選択

HTTP フラッド攻撃は、プロキシサーバーを使用して、大量の見た目上は正当なリクエストでターゲットを圧倒し、サーバーリソースを枯渇させてパフォーマンスを低下させます。

Alibaba Cloud は、この種の保護のために 2 つの主要なプロダクトを提供しています：WAF と Anti-DDoS Proxy です。それぞれ防御能力とポリシーの粒度に異なる強みがあり、特定のビジネスニーズに基づいて選択できます：