:Política de proteção de IP

Etapa 1: Definir informações básicas

1. Acesse a página Mitigation Settings no console Traffic Security.

2. Clique em Create Policy. Na caixa de diálogo exibida, insira um Policy Name e clique em OK.

3. Após criar a política, clique em OK na caixa de diálogo The policy is created. para acessar a página Create Rule.

   Nota

   Você também pode localizar a política recém-criada na lista de políticas e clicar em Modify Mitigation Policy para abrir o painel de configuração de regras.

Etapa 2: Configurar regras de mitigação

Na página Create Rule, configure as seguintes regras de mitigação.

ICMP Blocking

Descarta tráfego ICMP durante a limpeza para filtrar ataques ICMP e reduzir o risco de sondagem do servidor.

• Cenário aplicável: Vigora durante ataques para ativos cloud padrão. Sempre vigente para ativos cloud aprimorados.

• Efeito da proteção:

  • Com o bloqueio ICMP ativado, comandos ping não recebem respostas.

    Aviso

    Desative o bloqueio ICMP antes de executar diagnósticos de rede. Caso contrário, o ping não funcionará.

  • O bloqueio ICMP também se aplica a IPs na lista de permissões. O sistema descarta tráfego ICMP proveniente de IPs permitidos.

• Método de configuração:

  1. No painel de configuração de regras, localize a seção ICMP Blocking.

  2. Na seção Status, ative ou desative a chave. Ative esta regra se o seu negócio não utilizar ICMP.

Blacklist and Whitelist

• Cenário aplicável: Vigora durante ataques para ativos cloud padrão. Sempre vigente para ativos cloud aprimorados.

• Efeito da proteção: Configura regras para descartar ou permitir diretamente tráfego de IPs de origem especificados.

  Importante

  Se o tráfego permitido pela lista de permissões for muito grande, ele ainda poderá atingir a política padrão de limitação de taxa de IP de destino do Anti-DDoS Native devido às especificações dos ativos cloud e às garantias da plataforma.

• Método de configuração:

  1. No painel de configuração de regras, localize a seção Blacklist and Whitelist e clique em Settings.

  2. Selecione Blacklist ou Whitelist e conclua a configuração conforme descrito abaixo.

     Blacklist

     1. Defina o período de tempo limite (apenas para Blacklist): É obrigatório definir um período de tempo limite ao adicionar uma lista de bloqueios. A configuração aplica-se a todos os IPs na lista.

        1. Na aba Blacklist, clique em Validity Period Setting.

        2. Na seção Validity Period Setting da caixa de diálogo, defina o período de tempo limite conforme as necessidades do seu negócio. Selecione Custom (5 a 43.200 minutos), Permanent, 30 minutos ou outros períodos.

     2. Adicione endereços IP:

        1. Clique em Add. A caixa de diálogo Blacklist Configuration será exibida.

        2. Na caixa de diálogo, insira os endereços IP da lista de bloqueios. Separe vários endereços com espaços ou quebras de linha.

           Nota

           É possível adicionar manualmente até 2.000 endereços IP à lista de bloqueios.

     Whitelist

     1. Clique em Add. A caixa de diálogo Whitelist Configuration será exibida.

     2. Na caixa de diálogo, insira os endereços IP da lista de permissões. Separe vários endereços com espaços ou quebras de linha.

        Nota

        É possível adicionar manualmente até 2.000 endereços IP à lista de permissões.

Location Blacklist

Bloqueia solicitações de acesso com base em regiões geográficas.

• Cenário aplicável: Vigora durante ataques para ativos cloud padrão. Sempre vigente para ativos cloud aprimorados.

• Efeito da proteção: O sistema descarta tráfego proveniente de regiões bloqueadas destinado ao IP alvo. Permite bloquear por região ou país.

• Método de configuração:

  1. No painel de configuração de regras, localize a seção Location Blacklist.

  2. Na lista de seleção de regiões, selecione as regiões ou países a bloquear e clique em OK.

     Nota

     Bloqueie todas as regiões sem tráfego de negócios legítimo.

Port Blocking

Configura regras de filtragem de porta de origem ou destino para protocolos UDP ou TCP.

• Cenário aplicável: Vigora durante ataques para ativos cloud padrão. Sempre vigente para ativos cloud aprimorados.

• Efeito da proteção: Descarta tráfego de portas de protocolo especificadas. Use esta opção para filtrar ataques de reflexão UDP.

• Sugestões de configuração:

  • Se seus ativos utilizam apenas tráfego TCP, bloqueie todas as portas de origem UDP.

    Nota

    Ajuste a política caso adicione service UDP posteriormente.

  • Caso seus ativos utilizem tráfego UDP, bloqueie as portas de origem de reflexão UDP comuns: 1-52, 54-161, 389, 1900 e 11211.

• Método de configuração:

  1. No painel de configuração de regras, clique em Settings na seção Port Blocking.

  2. Na página Configure Source Port Blocking, clique em Add Port.

  3. Na caixa de diálogo Add Port, conclua a configuração conforme descrito abaixo e clique em OK para salvar a regra.

     Nota

     Suporta até 8 regras.

     • Protocol: Selecione o tipo de protocolo: TCP ou UDP.

     • Source Port Range, Destination Port Range: Defina os intervalos de porta de origem e de destino.

     • Action: Apenas Discard é suportado.

Source Rate Limiting

Limita a taxa de endereços IP de origem cuja frequência de acesso excede o limiar.

• Cenário aplicável: Suportado apenas por ativos cloud aprimorados. Sempre vigente.

• Efeito da proteção: Os IPs de origem que excedem o limiar são adicionados à lista de bloqueios e todo o tráfego correspondente é descartado.

• Método de configuração:

  1. No painel de configuração de regras, clique em Settings na seção Source Rate Limiting.

  2. No painel Configure Source Rate Limiting, ative a chave da dimensão de limitação de taxa (Source PPS, Source Bandwidth, PPS of Source SYN Packets ou Bandwidth of Source SYN Packets) e insira o limiar.

  3. (Opcional) Ative o recurso de adição automática à lista de bloqueios: Selecione If a source IP address triggers rate limiting five times within 60 seconds, the IP address is added to the blacklist.. IPs que excederem o limite de taxa 5 vezes em 60 segundos serão adicionados à lista de bloqueios.

Reflection Attack Filtering

• Cenário aplicável: Suportado apenas por ativos cloud aprimorados. Sempre vigente.

• Efeito da proteção: Aplica-se apenas ao tráfego UDP. Descarta tráfego proveniente de portas de origem de reflexão UDP especificadas.

• Método de configuração:

  1. No painel de configuração de regras, clique em Settings na seção Reflection Attack Filtering.

  2. No painel Configure Filtering Policies for UDP Reflection Attacks, selecione uma estratégia de filtragem. Duas estratégias são suportadas:

     • One-click Filtering Policy: Lista portas comuns de ataques de reflexão UDP. Bloqueie todas as portas que o seu negócio não utiliza.

     • Custom Filtering Policy: Personalize as portas de origem de reflexão (até 20). As portas não podem duplicar aquelas presentes na One-click Filtering Policy.

Fingerprint

• Cenário aplicável: Vigora durante ataques para ativos cloud padrão. Sempre vigente para ativos cloud aprimorados.

• Efeito da proteção: Pacotes de ataque forjados geralmente compartilham os mesmos campos de características, como uma string específica ou conteúdo idêntico. A filtragem por fingerprint identifica esses pacotes ao corresponder campos de cabeçalho e conteúdo do corpo de dados (payload). Em seguida, filtra, permite ou limita a taxa do tráfego com base no resultado. Uma única regra pode combinar múltiplas condições e realizar operações numéricas em campos como portas, comprimento do pacote, endereços IP, flags TCP e payload antes da comparação.

  Nota

  Todas as regras de fingerprint aplicam-se apenas a pacotes TCP e UDP.

• Método de configuração:

  1. No painel de configuração de regras, clique em Settings na seção Fingerprint.

  2. No painel Configure Fingerprint Rules, clique em Add Rule.

     Uma única política de proteção suporta no máximo 8 regras de fingerprint.

  3. No painel Add Fingerprint Rule, selecione um modo de regra.

     • Standard Mode: Selecione campos, operações numéricas e comparações em um formulário e combine múltiplas condições com AND ou OR. Adequado para características comuns, sem necessidade de memorizar sintaxe de expressão.

     • Expert Mode: Escreva a expressão de característica do pacote diretamente. Suporta valores de deslocamento de bytes, operações aritméticas e bit a bit, além de aninhamento. Adequado para cenários complexos.

     Importante

     As regras criadas nos dois modos são independentes e coexistem na mesma lista. Para manter a integridade da expressão, não é possível alterar o modo após a criação da regra. Para usar outro modo, exclua a regra e crie-a novamente.

  4. Se selecionar Standard Mode, configure as Rule Conditions conforme descrito abaixo.

     • 1. Select Field: Selecione o campo do pacote para correspondência. Para campos suportados e valores válidos, consulte Campos suportados e valores válidos neste tópico.

     • 2. Numeric Operations: Opcional. Execute uma operação no valor do campo antes de comparar o resultado. Operadores suportados: & (AND bit a bit), >> (deslocamento à direita), + e -. O operando pode ser decimal ou hexadecimal 0x. Campos de endereço e versão não suportam operações numéricas.

     • 3. Compare and Match: Selecione um operador de comparação e insira um valor. Operadores suportados: ==, !=, >, <, >=, <= e in. O operador in realiza correspondência de intervalo no formato in [a, b], onde ambos os extremos devem ser decimais e a não deve ser maior que b.

     Clique em AND ou OR para adicionar mais condições. Uma única regra de fingerprint suporta no máximo 10 Rule Conditions.

  5. Se selecionar Expert Mode, insira uma expressão no campo Packet Feature Expression.

     • A expressão usa sintaxe de filtro de exibição do Wireshark, por exemplo tcp.srcport >= 80 and tcp.srcport <= 443 and ip.len > 1000. Sugestões de preenchimento automático aparecem ao digitar um nome de campo. Você também pode expandir Syntax Reference and Examples e clicar em um campo em Fields and Values para inseri-lo.

     • Todos os campos na expressão devem ser suportados e a expressão deve conter pelo menos um campo.

     • Deslocamentos escritos diretamente após o nome do protocolo não são suportados, como udp[4:2] ou ip[8]. Use a forma de campo, como udp.payload[4:2].

     • Uma única regra de fingerprint suporta no máximo 20 subcondições.

  6. Configure a Action, que define a ação executada no tráfego após a correspondência. Valores válidos: Pass, Discard, Rate Limit by Packet, Rate Limit by Flow e Observe. Se selecionar Rate Limit by Packet ou Rate Limit by Flow, também deverá definir a Bandwidth. Valores válidos: 1 a 100000.

  7. Opcionalmente, insira Remarks de até 256 caracteres e clique em OK.

  Campos suportados e valores válidos

  O Standard Mode e o Expert Mode usam a mesma lista de campos. Na tabela a seguir, All refere-se a ==, !=, >, <, >=, <= e in.

  Categoria do campo	Campo	Operadores de comparação suportados	Valores válidos e descrição
  Porta	tcp.srcport, tcp.dstport, udp.srcport, udp.dstport	All	0 a 65535. Valores decimais ou hexadecimais 0x são suportados.
  Comprimento do pacote IP	ip.len	All	1 a 1500. Unidade: bytes.
  Corpo de dados	tcp.payload, udp.payload	==, !=, >, <, >= e <=. O operador in não é suportado.	O intervalo [offset:bytes] é obrigatório, onde offset varia de 0 a 1500 e bytes pode ser apenas 1, 2 ou 4. O valor de comparação deve ser hexadecimal 0x de no máximo 4 bytes, por exemplo tcp.payload[0:4] == 0x12345678.
  Endereço IPv4	ip.src, ip.dst, ip.addr	Apenas ==	Notação decimal pontuada, com octetos de 0 a 255. Zeros à esquerda não são permitidos. Operações numéricas não são suportadas.
  Endereço IPv6	ipv6.src, ipv6.dst	Apenas ==	Formatos completo e comprimido :: são suportados. Formato mapeado para IPv4 (::ffff:1.2.3.4) e ID de zona (fe80::1%eth0) não são suportados. Operações numéricas não são suportadas.
  Flag TCP	tcp.flags.fin, tcp.flags.syn, tcp.flags.rst, tcp.flags.psh, tcp.flags.ack, tcp.flags.urg, tcp.flags.ecn, tcp.flags.cwr	Apenas ==	Apenas valores decimais 0 ou 1. Hexadecimais como 0x1 e zeros à esquerda como 01 não são permitidos.
  Número de sequência TCP	tcp.seq, tcp.ack	All	0 a 4294967295.
  Valor de 16 bits	tcp.window_size_value, tcp.checksum, tcp.urgent_pointer, udp.checksum, ip.id, ip.flags	All	0 a 65535. ip.flags é uma palavra de 16 bits. Consulte as notas de sintaxe abaixo.
  Comprimento do pacote UDP	udp.length	All	8 a 65535. O cabeçalho UDP tem tamanho fixo de 8 bytes, logo o mínimo é 8.
  Número do protocolo de camada superior	ip.proto	All	0 a 255. Valores comuns: 6 (TCP) e 17 (UDP).
  Comprimento do cabeçalho	ip.hdr_len, tcp.hdr_len	All	20 a 60. Unidade: bytes. Para comparação exata ==, o valor deve ser múltiplo de 4 (20, 24, 28... até 60).
  Versão do protocolo	ip.version, ipv6.version	Apenas ==	ip.version aceita apenas 4; ipv6.version aceita apenas 6. Operações numéricas não são suportadas.

  Notas de sintaxe

  • Use apenas operadores minúsculos and e or para unir condições, cercados por espaços. (a)and(b) e operadores maiúsculos AND/OR causam erro de sintaxe.

  • Apenas o prefixo hexadecimal minúsculo 0x é permitido. 0X1F é rejeitado.

  • O separador em intervalo de payload é dois pontos ([offset:bytes]), não vírgula.

  • ip.flags é processado como palavra de 16 bits (3 bits de flags IP + 13 bits de deslocamento de fragmento). Para corresponder a uma flag específica, use o valor literal completo: ip.flags == 0x4000 para flag DF; ip.flags == 0x2000 para flag MF. ip.flags == 2 corresponde a deslocamento de fragmento 2, não à flag MF.

  • Ao configurar operação numérica, o valor de comparação aplica-se ao resultado da operação, não ao valor original do campo. Os valores válidos da tabela anterior deixam de ser verificados.

  • O comprimento total de uma regra de fingerprint não pode exceder 3000 caracteres.

SIP Protocol Protection

Projetado para service VoIP/voz, o SIP Protocol Protection permite a passagem de pacotes SIP fragmentados. Também aceita filtragem de pacotes não SIP, sondagem de autenticidade de cliente SIP e limitação de taxa de tráfego SIP sob demanda.

Aviso

Ative este recurso apenas se o servidor de origem hospedar service SIP/VoIP. Caso contrário, tráfego legítimo poderá ser bloqueado inadvertidamente.

• Cenário aplicável: Vigora durante ataques para ativos cloud padrão. Sempre vigente para ativos cloud aprimorados.

• Efeito da proteção:

  • Permite passagem de pacotes IP fragmentados do protocolo SIP, evitando interrupção de service VoIP por bloqueio falso de fragmentos.

  • (Opcional) Non-SIP Protocol Blocking: Descarta diretamente pacotes não SIP dentro do intervalo de portas SIP configurado.

  • (Opcional) SIP Client Probing: Sonda ativamente clientes SIP e descarta tráfego subsequente de clientes sem resposta ou com resposta anormal.

  • (Opcional) SIP Source Rate Limiting: Impõe limite superior de taxa para pacotes SIP de um único IP de origem; tráfego excedente é descartado.

• Método de configuração:

  1. No painel de configuração de regras, localize a seção SIP Protocol Protection e clique no cartão.

  2. No painel SIP Protocol Protection que desliza da direita, ative a chave Enable SIP Protocol Protection.

  3. Configure os parâmetros abaixo e clique em OK.

     • SIP Port Range: Insira a porta SIP do service. Padrão: 5060. Suporta porta única, múltiplas portas (vírgula), intervalos contínuos (hífen) ou combinações.

     • Defense mode: Selecione o nível de proteção. Padrão: Normal. Ao selecionar Loose, Normal ou Strict, o sistema preenche parâmetros automaticamente com base em modelo predefinido e os torna somente leitura. Em Custom, os parâmetros abaixo são editáveis manualmente.

       Defense Mode	Enabled Mitigation Capabilities	Activation Threshold	Scenarios
       Loose	Non-SIP Protocol Blocking	2.000 PPS	Maximiza disponibilidade. Adequado para service de voz sensíveis a falsos positivos.
       Normal (padrão)	Non-SIP Protocol Blocking, SIP Client Probing	1.000 PPS	Adequado para maioria dos service VoIP.
       Strict	Non-SIP Protocol Blocking, SIP Client Probing, SIP Source Rate Limiting	500 PPS + 10 Mbps; limite por origem: 1.000 PPS	Adequado para ataques sustentados de SIP Flood.
       Custom	Todos os parâmetros configuráveis manualmente	Personalizado	Recomendado para usuários experientes em proteção SIP.

     • Activation Threshold (editável apenas em Custom): O algoritmo ativa apenas quando o tráfego SIP excede este limiar.

     • Non-SIP Protocol Blocking (editável apenas em Custom): Quando ativado, identifica e descarta pacotes não SIP no intervalo de portas SIP configurado. Eficaz contra abuso de portas para reflexão ou payloads ilegais.

     • SIP Client Probing (editável apenas em Custom): Quando ativado, sonda clientes SIP. Tráfego subsequente de clientes sem resposta ou anormais é descartado, identificando origens falsificadas ou bots.

     • SIP Source Rate Limiting (editável apenas em Custom): Quando ativado, impõe limite de taxa para pacotes SIP de um único IP de origem. Tráfego excedente é descartado. Exige especificação de limite por origem. Recomendado após confirmação de ataque SIP Flood volumoso.

Lista de permissões de endereços de back-to-origin do Anti-DDoS Proxy

Adiciona IPs de back-to-origin do Anti-DDoS Proxy à lista de permissões de controle de acesso. Suportado apenas por ativos cloud aprimorados. Ao proteger tais ativos, o tráfego retorna à origem via centro de limpeza do Anti-DDoS Proxy. Ative para evitar bloqueio acidental de tráfego legítimo.

Método de configuração:

1. No painel de configuração de regras, localize a seção Add Back-to-origin CIDR Blocks of Anti-DDoS Proxy to Whitelist.

2. Ative ou desative a chave. Altamente recomendado para ativos cloud aprimorados.

Etapa 3: Selecionar objetos protegidos

Após configurar as regras, clique em Next para acessar a seleção de objetos protegidos.

1. Na seção Objects to Select da página Protected Assets, selecione os objetos protegidos (IPs públicos) para aplicar esta política.

2. Clique em Add. Após criar a política, clique em Back. Na página Mitigation Settings, visualize a nova política.

Nota

Cada IP público pode ser vinculado a apenas uma política de mitigação específica para IP. Se já estiver vinculado a outra, a política original deixará de valer para esse IP após a nova vinculação.

Modificar uma política de mitigação específica para IP

1. Na página Mitigation Settings, localize a política desejada e clique em Modify Mitigation Policy na coluna Actions.

2. No painel Modify Mitigation Policy que desliza da direita, modifique as regras conforme necessário. Cada regra segue a configuração descrita na seção "Criar uma política de mitigação específica para IP".

3. Após modificar, clique em OK na parte inferior do painel para salvar.

Aviso

Alterações entram em vigor imediatamente para todos os objetos protegidos associados. Proceda com cautela.

Gerenciar objetos protegidos

1. Na página Mitigation Settings, localize a política desejada e clique em Add Object for Protection na coluna Actions.

2. Na página View Applicable Object, execute as operações abaixo:

   • Add Object for Protection:

     Nota

     Cada IP público pode ser vinculado a apenas uma política de mitigação específica para IP. Se já estiver vinculado a outra, a política original deixará de valer para esse IP após a nova vinculação.

     1. Clique em Add Object for Protection acima da lista.

     2. Na seção Objects to Select da página Protected Assets, selecione os objetos protegidos (IPs públicos) para aplicar esta política.

     3. Clique em Add na parte inferior.

   • Delete: Clique em Delete na coluna Actions do IP desejado.

   • Delete: Selecione vários IPs e clique em Delete abaixo da lista.

3. Após salvar, retorne à lista de políticas e verifique se a coluna Add Object for Protection da política exibe o número atualizado de objetos.

Excluir uma política de mitigação específica para IP

1. Na página Mitigation Settings, localize a política desejada e clique em Delete na coluna Actions.

2. Na caixa de diálogo de confirmação, confirme o nome da política e clique em Delete.

Importante

Não é possível excluir política associada a objetos protegidos. Remova todos os objetos associados primeiro.

Exemplos de configuração

Configure políticas de mitigação específicas para IP em ativos cloud padrão sob ataques volumosos nas camadas de rede ou transporte, conforme as características do tráfego.

Item de configuração	Descrição
ICMP Blocking	Bloqueie tráfego ICMP se o negócio não o utilizar.
Blacklist and Whitelist	Durante ataques, adicione IPs suspeitos à lista de bloqueios pela página Attack Analysis (até 2.000 IPs). Ver análise de eventos de ataque.
Location Blacklist	Bloqueie regiões sem tráfego de negócios. Exemplo: se atender apenas China continental, bloqueie as demais.
Port Blocking	Bloqueie todas as portas UDP se o negócio não as utilizar.
Fingerprint	Analise o tráfego de ataque e configure filtragem por fingerprint baseada nas características identificadas.