Anti-DDoS:Análise de captura de pacotes

Escopo da captura de pacotes

A captura de pacotes abrange o tráfego entre os endereços IP do cliente e os endereços IP do Anti-DDoS Proxy. Ela não inclui o tráfego entre os endereços IP do Anti-DDoS Proxy e os servidores de origem. No entanto, se um endereço IP de cliente pertencer a um recurso da Alibaba Cloud, o sistema não captura o tráfego desse cliente.

• Anti-DDoS Proxy (Chinese Mainland): Todas as instâncias oferecem suporte à captura de pacotes. O sistema executa a captura de pacotes nos centros de limpeza na parte continental da China.

  Nota

  Para a China Telecom (Shenzhen), os dados capturados são pós-limpeza e não incluem dados de pré-limpeza.

• Anti-DDoS Proxy (Outside Chinese Mainland):

  • Insurance e Unlimited: O sistema executa a captura de pacotes nos centros de limpeza fora da parte continental da China.

  • Chinese Mainland Acceleration: A captura de pacotes tem suporte apenas na região China (Hong Kong).

  • Sec-CMA 2.0: A captura de pacotes tem suporte apenas na região China (Hong Kong), e o sistema captura apenas o tráfego pós-limpeza da proteção da operadora upstream.

Considerações

• Taxa de amostragem: A taxa de amostragem padrão é 1:1. Volumes menores de tráfego resultam em maior precisão de amostragem. Quando o volume de tráfego é extremamente alto, a captura de pacotes muda automaticamente para o modo de captura amostrada, e a taxa de amostragem aumenta conforme o volume de tráfego.

• Limite de tamanho do pacote: Para regiões na parte continental da China, os pacotes de dados de cada tarefa de captura não podem exceder 300 MB. Para regiões fora da parte continental da China, os pacotes de dados de cada tarefa não podem exceder 100 MB. Ao ultrapassar o limite, a captura de pacotes é interrompida e o sistema gera o arquivo de pacotes imediatamente.

• Limite de tarefas de captura: Cada conta da Alibaba Cloud pode criar até 50 tarefas de captura de pacotes por mês civil.

• Limite de arquivos capturados: Cada conta da Alibaba Cloud pode armazenar até 20 arquivos capturados por vez. Se você exceder esse limite, exclua os arquivos capturados mais antigos primeiro.

• Período de retenção de arquivos capturados: O sistema retém os arquivos capturados por no máximo 30 dias e, em seguida, os exclui automaticamente.

• Instâncias do Anti-DDoS Proxy expiradas: O sistema marca as tarefas de captura de pacotes como Invalid, e as instâncias liberadas não oferecem suporte à captura de pacotes.

• Captura de pacotes transfronteiriça: A captura de pacotes pode falhar em cenários transfronteiriços, como quando um cliente fora da parte continental da China acessa um endereço IP do Anti-DDoS Proxy na parte continental da China, ou vice-versa.

Criar uma tarefa de captura de pacotes

1. Primeiro, ative a análise de captura de pacotes.

   Na primeira vez que você acessar a página Packet Capture, clique em Authorize para permitir o armazenamento dos arquivos capturados no pool de recursos compartilhados do OSS.

2. Agora, crie uma tarefa de captura de pacotes.

   1. Na aba Packet Capture Task, clique em Create Packet Capture Task.

      Nota

      Execute apenas uma tarefa de captura manual de pacotes por vez.

      Parâmetro	Descrição
      Task Type	Captura manual de pacotes: a captura começa após a criação da tarefa de captura de pacotes.
      Protocol Type	Valores válidos: TCP, UDP, ICMP e ALL. Valor padrão: ALL.
      Destination IP Address	O endereço IP da instância do Anti-DDoS Proxy. Não há suporte para captura de pacotes em linhas Sec-CMA. Portanto, não selecione os endereços IP de instâncias nessas linhas.
      Destination Port	Valores válidos: 0 a 65535. O valor 0 indica todas as portas.
      Source IP Address	Há suporte para endereços IP e máscaras de IP. Um asterisco (*) indica todos os endereços IP.
      Source Port	Valores válidos: 0 a 65535. O valor 0 indica todas as portas.
      Packet Capture Duration	Valores válidos: 5 a 60. Unidade: segundos.
      Packet Capture Direction	Bidirecional: todas as solicitações entre o endereço IP do cliente e o endereço IP do Anti-DDoS Proxy. Saída: solicitações enviadas do endereço IP do Anti-DDoS Proxy para o endereço IP do cliente. Entrada: solicitações enviadas do endereço IP do cliente para o endereço IP do Anti-DDoS Proxy.

3. Na lista de tarefas de captura de pacotes, na coluna Packet Capture Operations, clique em Actions para que você baixe ou exclua o arquivo.

   • Ao baixar arquivos, cada tarefa do Anti-DDoS Proxy (Chinese Mainland) corresponde a um arquivo capturado. Para o Anti-DDoS Proxy (Outside Chinese Mainland), o sistema armazena os dados em cada centro de limpeza após a emissão de uma tarefa de captura de pacotes. Portanto, cada tarefa corresponde a nove arquivos capturados. Você pode identificar a região pelo nome do arquivo capturado.

   • Se o sistema não gerar dados em uma região durante a captura de pacotes, nenhum arquivo capturado para essa região estará disponível para download.

   • Baixar um arquivo capturado extrai dados do centro de limpeza local, o que pode envolver transferência de dados transfronteiriça. Uma transferência transfronteiriça pode aumentar o tempo de download. A tabela a seguir descreve o mapeamento entre os nomes dos arquivos e as regiões:

     Região	Campo no nome do arquivo
     China (Hong Kong)	cn-hongkong
     Singapore	ap-southeast-1
     Japan	ap-northeast-1
     US (Silicon Valley)	us-east-1
     US (Virginia)	us-west-1
     Germany (Frankfurt)	eu-central-1
     UK (London)	eu-west-1
     Indonesia	ap-southeast-5
     Malaysia	ap-southeast-3

4. (Opcional) Clique em Packet Capture File para criar uma nova tarefa de captura de pacotes.

Perguntas frequentes

• Os endereços IP registrados em um arquivo capturado são os verdadeiros endereços IP de origem do ataque?

  Os endereços IP de origem registrados em um arquivo de captura de ataque DDoS (arquivo PCAP) geralmente não são os verdadeiros endereços IP do atacante. O tráfego de ataque vem principalmente de hosts comprometidos (botnets) ou usa endereços IP de origem falsificados. Portanto, você não pode rastrear a verdadeira origem do ataque diretamente do arquivo capturado. Utilize os dados capturados para analisar os tipos de ataque e as características do tráfego, em vez de tentar rastrear a identidade do atacante.

• O que fazer se o download de um arquivo capturado falhar ou se o arquivo não puder ser baixado?

  Verifique as seguintes possíveis causas:

  • Não houve execução de nenhuma tarefa de captura de pacotes durante o período correspondente, ou a tarefa não gerou um arquivo.

  • A instância do Anti-DDoS Proxy expirou, o sistema marcou a tarefa de captura de pacotes como Invalid e as instâncias liberadas não oferecem suporte a downloads.

  • A captura de pacotes falhou em um cenário transfronteiriço e o sistema não gerou nenhum arquivo capturado.

  • As condições de gatilho para a captura automática de pacotes não foram atendidas (não ocorreu nenhum ataque volumétrico de camada de transporte ou ataque de camada de aplicação não web). Portanto, o sistema não acionou a tarefa de captura automática de pacotes.

Próximos passos

• Visualize os logs de operação das tarefas de captura de pacotes. Para obter instruções, consulte Operation logs.

• Analise os arquivos capturados e configure políticas de mitigação de forma direcionada para melhorar a proteção. Para mais detalhes, consulte Protection settings.