O Anti-DDoS Native é um security service que fortalece diretamente a capacidade de mitigação de DDoS dos Alibaba Cloud services. Ele protege os cloud services sem exigir alterações na sua arquitetura de rede. Após comprar uma instância e associar endereços IP a ela, a proteção entra em vigor em poucos minutos. O Anti-DDoS Native mitiga principalmente ataques DDoS volumétricos nas camadas 3 e 4, sendo ideal para quem deseja reforçar rapidamente e com baixo custo as defesas baselines contra DDoS.
Conceitos
Ataque DDoS: Um ataque de distributed denial-of-service (DDoS) consome recursos de rede ou de dispositivos com tráfego malicioso e torna um service indisponível. Para mais informações, consulte What is a DDoS attack?.
Como funciona
O Anti-DDoS Native utiliza o modo de implantação em bypass, com sistemas de detecção de ataques DDoS e de limpeza de tráfego implantados na saída dos data centers da Alibaba Cloud. Ele usa principalmente a limpeza baseada em limiares, complementada por bloqueio ativo, para identificar e limpar o tráfego de ataques DDoS sem afetar as cargas de trabalho legítimas.
Detecção de ataques: O sistema monitora o tráfego que flui pelos endereços IP públicos em tempo real.
Limpeza de tráfego: Quando o tráfego de entrada excede o limiar de limpeza, o sistema redireciona automaticamente o tráfego para um centro de limpeza.
Reinjeção de tráfego: Após o centro de limpeza descartar o tráfego de ataque, ele reinjeta o clean service traffic no servidor de origem, mantendo seus services acessíveis enquanto o ataque continua.
Benefícios
Implantação instantânea: A proteção entra em vigor após a compra, e a implantação pode ser concluída em apenas um minuto. A capacidade de mitigação é aplicada diretamente aos cloud services, sem necessidade de implantar ou substituir endereços IP.
Defesa elástica: Durante ataques em grande escala, o sistema utiliza automaticamente todos os recursos de mitigação de DDoS na região atual para fornecer proteção ilimitada.
Acesso BGP multitransportadora: A largura de banda do Border Gateway Protocol (BGP) permite que um único endereço IP ofereça acesso de alta velocidade em redes de transportadoras como China Telecom, China Unicom e China Mobile.
Capacidade de limpeza em grande escala: A largura de banda de limpeza suficiente atende às necessidades de segurança de grandes eventos promocionais, lançamentos de new product e cargas de trabalho críticas.
Compartilhamento flexível: Vários endereços IP podem compartilhar a mesma instância de proteção para atender às necessidades de mitigação de múltiplos ativos.
Tipos de cloud services suportados
|
Dimensão de comparação |
Standard cloud services |
Enhanced cloud services |
|
Definição |
Cloud services que possuem a capacidade de mitigação de DDoS padrão da Alibaba Cloud, como instâncias ECS padrão, EIPs e instâncias SLB. |
Cloud services para os quais a proteção aprimorada contra DDoS é ativada na compra. Atualmente, isso se refere apenas ao Anti-DDoS Native (Advanced) EIP(Anti-DDoS Advanced EIP). |
|
Como as políticas de mitigação entram em vigor |
As políticas de mitigação, como listas de bloqueios e listas de permissões ou a política Location Blacklist, entram em vigor apenas quando o ativo está sob ataque e seu tráfego está sendo limpo. |
As políticas de mitigação estão sempre em vigor. Todo o tráfego é processado pelo centro de limpeza. |
|
Capacidade de mitigação |
Compartilha a capacidade de limpeza no nível da região, que pode chegar a centenas de Gbps na china continental. |
Fornece proteção ilimitada no nível de Tbps. |
|
Configuração de compra |
Ao comprar um EIP, defina Security Protection como Default. |
Ao comprar um EIP, defina Security Protection como Anti-DDoS (Pro/Premium). |
Edições do Anti-DDoS Native
Categoria | Edição da instância | Descrição |
Anti-DDoS Native 1.0 (assinatura) | Enterprise | Não está mais disponível para novas compras. |
Anti-DDoS Native 2.0 (assinatura) | SMB, Enterprise | Suporta standard cloud services e ativos Anti-DDoS Advanced EIP (EIP com proteção aprimorada contra DDoS). O SMB suporta apenas standard cloud services e não suporta o Anti-DDoS Advanced EIP.
|
Anti-DDoS Native 2.0 (pagamento conforme o uso) | Enterprise | Não está mais disponível para novas compras. Suporta standard cloud services e enhanced cloud services. |
Comparação de especificações de instância
Item de comparação | Anti-DDoS Native 1.0 | Assinatura do Anti-DDoS Native 2.0 | Anti-DDoS Native 2.0 pagamento conforme o uso (No longer available for new purchases) | |
Enterprise | SMB | Enterprise | Enterprise | |
Objetos protegidos | Alibaba Cloud services: ECS, SLB, EIPs (incluindo EIPs associados a gateways NAT), gateways IPv6, Simple Application Server, WAF e GA |
| ||
Método de faturamento | Assinatura | Assinatura | Assinatura | Pagamento conforme o uso |
Sessões de mitigação | Ilimitado | 2 por mês | Ilimitado | Ilimitado |
Tipos de ativos protegidos | Standard cloud services | Standard cloud services e enhanced cloud services (Anti-DDoS Advanced EIP) | ||
Número de regiões dos ativos protegidos | Protege ativos que receberam endereços IP públicos em uma região. | Protege ativos que receberam endereços IP públicos em uma região. | Protege ativos que receberam endereços IP públicos em todas as regiões sob a conta atual da Alibaba Cloud. | Protege ativos que receberam endereços IP públicos em todas as regiões sob a conta atual da Alibaba Cloud. |
Tipo de rede dos ativos protegidos | Protege ativos que receberam apenas um tipo de endereço IP público: IPv4 ou IPv6. | Protege ativos que receberam apenas um tipo de endereço IP público: IPv4 ou IPv6. | Protege ativos IPv4 e IPv6 que receberam endereços IP públicos. | Protege ativos IPv4 e IPv6 que receberam endereços IP públicos. |
Número de endereços IP protegidos | Começa com 100 ao comprar uma instância, portanto, selecione a cota livremente. | Ao comprar uma instância, selecione de 1 a 29. | Ao comprar uma instância, selecione de 30 a 2.000. Para uma especificação superior, entre em contato com seu gerente de contas. | Até 2.000. |
Largura de banda limpa | Ao comprar uma instância, selecione a largura de banda livremente e expanda-a sem limite superior. | Ao comprar uma instância, selecione de 50 Mbps a 1.000 Mbps. | Começa com 100 Mbps ao comprar uma instância, portanto, selecione a largura de banda livremente e expanda-a sem limite superior. Standard cloud services não têm limite de largura de banda. Enhanced cloud services (Anti-DDoS Advanced EIP) possuem um limite de largura de banda. |
|
Largura de banda limpa com burst | Não suportado. | Suportado. O método de medição de 95º percentil diário é ativado por padrão. Após a ativação, a largura de banda limpa total suportada é cinco vezes a largura de banda limpa garantida. | Não aplicável. | |
SLS logs | Suportado. | Não suportado. | Suportado. | Suportado. |
Gerenciamento de multicontas | Não suportado. | Não suportado. | Suportado. | Suportado. |
Comparação de desempenho de proteção
O Anti-DDoS Native está disponível nas versões 1.0 e 2.0. A versão 1.0 não está mais disponível para novas compras. A tabela a seguir lista os valores de referência da capacidade de mitigação apenas para a versão 2.0.
O Anti-DDoS Native utiliza o modelo de "proteção ilimitada". Sua capacidade de mitigação não é um valor fixo, mas se ajusta dinamicamente com base na capacidade geral de mitigação do cloud data center. A capacidade de mitigação geralmente aumenta à medida que a Alibaba Cloud expande sua infraestrutura de rede, mas também pode diminuir temporariamente em casos especiais, como restrições de recursos.
Região | Anti-DDoS Native 2.0 (assinatura) SMB | Anti-DDoS Native 2.0 (assinatura) Enterprise | Anti-DDoS Native 2.0 (pagamento conforme o uso) Enterprise (No longer available for new purchases) | |||
Standard cloud services | Standard cloud services | Enhanced cloud services | Standard cloud services | Enhanced cloud services | ||
A china continental | China (Beijing), China (Shanghai), China (Hangzhou), China (Shenzhen), China (Ulanqab), China (Zhangjiakou), China (Hohhot), China (Heyuan) | Até 300 Gbps a 600 Gbps. | Até o nível de Tbps. Disponível para compra apenas em China (Beijing), China (Shanghai) e China (Hangzhou). | Até 300 Gbps a 600 Gbps. | Até o nível de Tbps. Disponível para compra apenas em China (Beijing), China (Shanghai) e China (Hangzhou). | |
China (Chengdu), China (Guangzhou) e China (Qingdao) | Até dezenas de Gbps. | Até dezenas de Gbps. | ||||
Fora da china continental | China (Hong Kong), Singapore, Germany (Frankfurt), US (Silicon Valley), US (Virginia) e France (Paris) | Até 100 Gbps a 200 Gbps. | Até o nível de Tbps. | Até 100 Gbps a 200 Gbps. | Até o nível de Tbps. | |
Japan (Tokyo) | Até dezenas de Gbps. | Até o nível de Tbps. | Até dezenas de Gbps. | Até o nível de Tbps. | ||
Outras regiões | Capacidade de mitigação limitada (menos de 10 Gbps). | Até o nível de Tbps. | Capacidade de mitigação limitada (menos de 10 Gbps). | Até o nível de Tbps. | ||
Comece a usar o Anti-DDoS Native
Compre uma instância do Anti-DDoS Native. Para adicionar ativos do Anti-DDoS Advanced EIP, primeiro conclua a autorização da service-linked role (SLR). Para mais informações, consulte Protection authorization (first purchase).
Adicione ativos que receberam endereços IP públicos à instância como objetos protegidos. Para mais informações, consulte Protected objects.
Configure políticas de mitigação personalizadas com base nas características do seu service traffic. Para mais informações, consulte https://www.alibabacloud.com/help/zh/anti-ddos/anti-ddos-origin/user-guide/protection-configuration/.
Para acompanhar o service traffic, visualize os dados de monitoramento. Para mais informações, consulte Business Monitoring.
Para começar, ative os Mitigation Logs. Use a análise de mitigação para consultar e analisar logs de mitigação e visualizar relatórios de mitigação integrados. Para mais informações, consulte Enable mitigation analysis.
Após os ativos que receberam endereços IP públicos serem atacados, visualize os detalhes do evento de ataque. Para mais informações, consulte Attack analysis.
No painel, visualize os eventos de blackhole e de limpeza. Para mais informações, consulte Event center.
FAQ
-
Qual é a diferença entre o Anti-DDoS Native e o Anti-DDoS Proxy?
Dimensão de comparação
Anti-DDoS Native
Anti-DDoS Proxy
Posicionamento principal
Proteção aprimorada para cloud services.
Proteção independente e de nível profissional.
Método de acesso
Associa-se a endereços IP públicos existentes. Não é necessária a substituição do endereço IP.
Roteia o service traffic para o endereço IP de uma instância do Anti-DDoS Proxy.
Capacidade de mitigação
Compartilhada no nível da região, com um limite superior (nível de Gbps).
Recursos independentes, até o nível de Tbps, com um SLA mais alto.
Cenários aplicáveis
Reforçar as defesas baselines de forma prática e com baixo custo.
Cargas de trabalho críticas que devem resistir a ataques de grande escala.
Custo
Relativamente baixo.
Relativamente alto.
-
O Anti-DDoS Native pode defender contra ataques CC (ataques na camada de aplicação)?
Não. O Anti-DDoS Native mitiga principalmente ataques volumétricos nas camadas 3 e 4, como UDP Flood e SYN Flood.