Anti-DDoS Pro: Política de Mitigação Global para Serviço Web - Anti-DDoS: Central de Documentação do Alibaba Cloud

O recurso de política de mitigação global contém regras gerais de mitigação acumuladas com base na experiência de ataque e defesa do Anti-DDoS Proxy. Ao ativar esse recurso, você reduz os riscos causados por ataques aos seus sites. Este tópico descreve como configurar o recurso de política de mitigação global.

Introdução ao recurso de política de mitigação global

Modos

O recurso de política de mitigação global oferece os seguintes modos: Loose, Normal e Strict. A tabela a seguir descreve cada modo. Após configurar uma regra de encaminhamento para um nome de domínio, o Anti-DDoS Proxy ativa automaticamente o recurso de política de mitigação global e aplica o modo Normal ao domínio. Modifique o modo conforme as necessidades do seu negócio.

Modo	Efeito da mitigação	Cenário
Loose	Bloqueia ataques conhecidos específicos e permite solicitações normais.	Indicado para sites grandes com alta capacidade de processamento. Caso não haja exigências rigorosas para limpeza de tráfego, recomenda-se o uso do modo Loose. Por exemplo, utilize esse modo durante eventos promocionais de grande escala.
Normal (recomendado)	Bloqueia ataques divulgados na Internet que não constam no histórico de tráfego do seu site. Esse modo causa baixo impacto nas operações.	Recomendado para cenários em que o volume de solicitações apresenta pouca variação e os atributos de negócio e origens de usuários permanecem estáveis.
Strict	Bloqueia ataques de forma rigorosa. Solicitações normais também podem ser bloqueadas. Importante Para evitar impactos negativos da alteração de modo no seu site, entre em contato com o suporte técnico da Alibaba Cloud antes de utilizar o modo Strict.	Apropriado para sites com capacidade de processamento limitada. Utilize este modo quando for necessária uma capacidade mais robusta de limpeza de tráfego para melhorar o desempenho da mitigação.

Regras de mitigação

O Anti-DDoS Proxy disponibiliza diversas regras de mitigação organizadas em diferentes tipos, descritos na tabela abaixo. Além disso, cada modo da política de mitigação global suporta um conjunto específico de regras. Se relatórios de análise de ataques ou logs indicarem que uma regra está gerando falso positivo e afetando negativamente suas cargas de trabalho, não é necessário alterar o modo vigente. Basta desativar a regra ou modifique sua ação.

Tipo	Descrição
Invalid Request	O cabeçalho HTTP da solicitação é inválido devido a erros de codificação.
Simulated Browser Request	A solicitação simula uma requisição HTTP iniciada por navegador. Na maioria dos casos, essa solicitação aciona um desafio JavaScript.
Simulated Crawler Request	A solicitação simula uma requisição HTTP iniciada por rastreador.
Attack Tool Request	Uma ferramenta de ataque comum iniciou a solicitação HTTP.
High-frequency Attack Request	Atacantes enviam solicitações HTTP em alta frequência.
Attack Request	A solicitação apresenta características de ataque identificadas com base na experiência de ataque e defesa da Alibaba Cloud.

Regras de mitigação específicas por modo

Na tabela a seguir, um sinal de visto (√) indica que o modo suporta a regra, enquanto uma cruz (×) indica que o modo não a suporta.

As ações das regras de mitigação variam. Modifique as ações conforme as necessidades do seu negócio.

Monitor: registra informações sobre a solicitação nos logs e permite a requisição.
JavaScript Challenge: executa verificação CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) para validar o endereço IP de origem da solicitação.
Block: bloqueia a solicitação.

Tipo de regra	ID da regra	Descrição	Ação padrão	Loose	Normal	Strict
Invalid Request	global_01	O cabeçalho Accept da solicitação HTTP é inválido.#1	Block	✓	✓	✓
Invalid Request	global_02	O cabeçalho Accept-Language da solicitação HTTP é inválido.#1	Block	✓	✓	✓
Invalid Request	global_0_1	O cabeçalho Accept-Encoding da solicitação HTTP é inválido.#1	Block	×	✓	✓
Invalid Request	global_15	O cabeçalho Accept da solicitação HTTP é inválido.#2	Block	✓	✓	✓
Invalid Request	global_ge_05f8a760096d29cee462a63ab418e5c3_B_t	O cabeçalho Accept da solicitação HTTP é inválido.#3	Block	✓	✓	✓
Invalid Request	global_ge_0_B_t	O cabeçalho Accept-Encoding da solicitação HTTP é inválido.#2	Block	×	✓	✓
Invalid Request	global_ge_0d4dbd8080c85462ea5395d1d8251da8_B_t	O cabeçalho Referer da solicitação HTTP é inválido.#1	Block	×	✓	✓
Invalid Request	global_ge_0e2130d0b87abe84bd74735ec4586ab1_B_t	O cabeçalho Accept da solicitação HTTP é inválido.#4	Block	✓	✓	✓
Invalid Request	global_ge_1_B_t	O cabeçalho Accept-Language da solicitação HTTP é inválido.#2	Block	×	✓	✓
Invalid Request	global_ge_2cfc5256bf5be8892b9356d8db40d0e3_B_t	O cabeçalho Cache-Control da solicitação HTTP é inválido.#1	Block	✓	✓	✓
Invalid Request	global_ge_aba03cde2fc06dd322ad0a1a46bc47d8_B_t	O cabeçalho Connection da solicitação HTTP é inválido.#1	Block	✓	✓	✓
Invalid Request	global_online_03	O cabeçalho Referer da solicitação HTTP é inválido.#2	Block	✓	✓	✓
Invalid Request	global_spv_3adcd517f14ef4295dbcb65f2b544621_B_t	O cabeçalho Accept-Language da solicitação HTTP é inválido.#3	Block	×	✓	✓
Invalid Request	global_spv_a69fdbd25ac2da2984809fdc051e9d4e_B_t	O cabeçalho User-Agent da solicitação HTTP é inválido.#1	Block	×	×	✓
Simulated Browser Request	global_03	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#1	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_2_3	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#2	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_2_4	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#3	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_r_1_C	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#4	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_r_2_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#5	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_00922977ecc39f015bdd94e54e3f08c8_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#6	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_10_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#7	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_1db36a86783775fb36ff65e9a9471293_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#8	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_4_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#9	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_5_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#10	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_6_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#11	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_7_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#12	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_8_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#13	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_9_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#14	JavaScript Challenge	×	✓	×
Simulated Browser Request	global_th_a256dec6c80b7c953a9d5cf21b193e93_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação rigorosa baseada em combinação de cabeçalhos.#1	JavaScript Challenge	×	×	✓
Simulated Browser Request	global_th_e353aae960559269a5146aca41060c60_C_t	A solicitação pode ser uma requisição HTTP simulada para imitar acesso via navegador, exigindo verificação baseada em combinação de cabeçalhos.#15	JavaScript Challenge	×	✓	×
Simulated Crawler Request	global_d_6587d6a0e3adb13d4949cdb59a3167c3_B_t	A solicitação simula uma requisição HTTP iniciada por rastreador do Google Chrome.#1	Block	×	×	✓
Simulated Crawler Request	global_d_97a08ec7a4a0d131194c4fd40802dd98_B_t	A solicitação simula uma requisição HTTP iniciada por rastreador do Baidu.#1	Block	×	×	✓
Simulated Crawler Request	global_d_d51505ef3de38efe92bff2163a3b4d38_B_t	A solicitação simula uma requisição HTTP iniciada por rastreador do Google Chrome.#2	Block	×	×	✓
Attack Tool Request	global_d_0ac87637e9fccf60e9afbe18ad6af1d9_C_t	Uma ferramenta de ataque conhecida pode ter iniciado a solicitação HTTP, exigindo verificação baseada em combinação de cabeçalhos.#1	JavaScript Challenge	×	✓	×
Attack Tool Request	global_d_0d0fc1037e2239562d31473e11d40909_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de requisições iniciadas por ferramentas de ataque conhecidas.#1	Block	×	✓	✓
Attack Tool Request	global_d_436c6492dbef6f8d43eec0c3caa86652_C_t	Uma ferramenta de ataque conhecida pode ter iniciado a solicitação HTTP, exigindo verificação baseada em combinação de cabeçalhos.#2	JavaScript Challenge	×	✓	✓
Attack Tool Request	global_d_52d72f8b80d5877e10763d451cc05479_C_t	Uma ferramenta de ataque conhecida pode ter iniciado a solicitação HTTP, exigindo verificação baseada em combinação de cabeçalhos.#3	JavaScript Challenge	×	✓	✓
Attack Tool Request	global_d_5e65a8ca4a9ea2339f24d93c7b2fa819_C_t	Uma ferramenta de ataque conhecida pode ter iniciado a solicitação HTTP, exigindo verificação baseada em combinação de cabeçalhos.#4	JavaScript Challenge	×	✓	✓
Attack Tool Request	global_d_5fdc132caf63121890cb733ad4c2463e_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de requisições iniciadas por ferramentas de ataque conhecidas.#2	Block	×	✓	✓
Attack Tool Request	global_d_658fef4f5d139461f7135b89f5d9dd6d_C_t	Uma ferramenta de ataque conhecida pode ter iniciado a solicitação HTTP, exigindo verificação baseada em combinação de cabeçalhos.#5	JavaScript Challenge	×	✓	✓
Attack Tool Request	global_d_839574bd00cc6f9f2a256a599829db04_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de requisições iniciadas por ferramentas de ataque conhecidas.#3	Block	×	✓	✓
Attack Tool Request	global_d_8917da6c5c8a6aba6ab9156cc9f89d35_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de requisições iniciadas por ferramentas de ataque conhecidas.#4	Block	×	✓	✓
Attack Tool Request	global_d_adc8a089ad050bd9e2ed1aed2b991526_C_t	Uma ferramenta de ataque conhecida pode ter iniciado a solicitação HTTP, exigindo verificação baseada em combinação de cabeçalhos.#6	JavaScript Challenge	×	✓	✓
Attack Tool Request	global_d_bec67b0fe8d26adb09f375c67e355a88_C_t	Uma ferramenta de ataque conhecida pode ter iniciado a solicitação HTTP, exigindo verificação baseada em combinação de cabeçalhos.#7	JavaScript Challenge	×	✓	×
Attack Tool Request	global_d_c660088d7e2385d949fbf594461b06ac_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de requisições iniciadas por ferramentas de ataque conhecidas.#5	Block	×	✓	✓
Attack Tool Request	global_d_dc71e4b0d53ef00f0631b0db72e95fb7_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de requisições iniciadas por ferramentas de ataque conhecidas.#6	Block	×	✓	✓
Attack Tool Request	global_d_fc1c525466aaf12d4580ad03763daaf4_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de requisições iniciadas por ferramentas de ataque conhecidas.#7	Block	×	✓	✓
Attack Tool Request	global_spv_2bdf9b3b14f1277aaccc38ae2b2e8a23_B_t	O cabeçalho Referer da solicitação HTTP apresenta características de requisições iniciadas por ferramentas de ataque conhecidas.#1	Block	×	✓	✓
Attack Tool Request	global_spv_507e041146fa3a0d8abc61b0bb0ba1bf_B_t	O cabeçalho Referer da solicitação HTTP apresenta características de requisições iniciadas por ferramentas de ataque conhecidas.#2	Block	×	✓	✓
Attack Tool Request	global_spv_b980df6086a5b9bded374883531ceb9a_B_t	O cabeçalho Referer da solicitação HTTP apresenta características de requisições iniciadas por ferramentas de ataque conhecidas.#3	Block	×	✓	✓
High-frequency Attack Request	global_cc_1321b42f0967324a4581f7df931b4b64_C_t	Solicitações HTTP de alta frequência visam atacar uma página inicial.#1	JavaScript Challenge	×	×	✓
High-frequency Attack Request	global_cc_3ed2a1a3801ce62eee67a1804dc2682a_C_t	Solicitações HTTP de ataque de alta frequência percorrem cabeçalhos de requisição.#1	JavaScript Challenge	×	×	✓
High-frequency Attack Request	global_cc_5d4f4eacd0d2e37f0a82ab247bcdcc50_C_t	Solicitações HTTP de ataque de alta frequência utilizam cabeçalhos User-Agent especiais.#1	JavaScript Challenge	×	✓	✓
High-frequency Attack Request	global_cc_958593f854099089cdec7638c11116f4_C_t	Solicitações HTTP de ataque de alta frequência percorrem URIs.#1	JavaScript Challenge	×	×	✓
High-frequency Attack Request	global_cc_c5d86db096688b00f8ad8cb4c3a3d363_C_t	Solicitações HTTP de ataque de alta frequência percorrem cabeçalhos de requisição.#2	JavaScript Challenge	×	✓	✓
Attack Request	global_1_1	O cabeçalho Ping-To da solicitação HTTP indica origem maliciosa.#1	Block	×	✓	✓
Attack Request	global_1_3	O cabeçalho Referer da solicitação HTTP apresenta características de ataque.#1	Block	×	✓	✓
Attack Request	global_1_4	O cabeçalho Accept da solicitação HTTP apresenta características de ataque.#1	Block	×	✓	×
Attack Request	global_d_0226f8975a3bb985c7c069fff282bbdc_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de ataque.#1	Block	✓	✓	×
Attack Request	global_d_34f692ae6798abe9fc822912cfcd4cc5_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de ataque.#2	Block	×	×	✓
Attack Request	global_d_c310e8097811299b9f3d968fe771ebc9_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de ataque.#3	Block	×	✓	✓
Attack Request	global_ge_e397de51d53a70ad1ef6daaf332de446_B_t	O cabeçalho Accept-Language da solicitação HTTP apresenta características de ataque.#1	Block	✓	✓	✓
Attack Request	global_hm_9c0017d9c9b1aa12ea2df4503d8fae29_B_t	O método da solicitação HTTP apresenta características de ataque.#1	Block	×	✓	✓
Attack Request	global_hm_c1db5bd6d4f9da9739224ca848b60e62_B_t	O método da solicitação HTTP apresenta características de ataque.#2	Block	×	✓	✓
Attack Request	global_online_01	O cabeçalho User-Agent da solicitação HTTP apresenta características de ataque.#4	Block	✓	✓	✓
Attack Request	global_online_02	O cabeçalho Accept-Language da solicitação HTTP apresenta características de ataque.#2	Block	×	✓	✓
Attack Request	global_spv_0_B_t	O cabeçalho Accept-Language da solicitação HTTP apresenta características de ataque.#3	Block	×	✓	✓
Attack Request	global_spv_1926afcce4ce00198eca856aaaf6fe38_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de ataque.#5	Block	×	✓	✓
Attack Request	global_spv_1_B_t	A URI da solicitação HTTP apresenta características de ataque.#1	Block	×	✓	✓
Attack Request	global_spv_2_B_t	O cabeçalho Referer da solicitação HTTP apresenta características de ataque.#2	Block	×	✓	✓
Attack Request	global_spv_4957fd08aa78f6e640f2364b087cd117_B_t	O cabeçalho User-Agent da solicitação HTTP apresenta características de ataque.#6	Block	×	×	✓
Attack Request	global_spv_4e580d90c3df0d19e71fb6947caf5489_C_t	O cabeçalho Accept da solicitação HTTP apresenta características de ataque.#2	JavaScript Challenge	×	✓	×

Decidir entre alterar o modo ou uma regra de mitigação

Avalie os critérios a seguir para decidir se deve alterar o modo ou uma regra de mitigação específica.

Escopo e frequência do impacto
- Altere o modo caso ele esteja bloqueando frequentemente diversos tipos de comportamentos legítimos de usuários, como logins, uploads e downloads.
- Se falsos positivos ocorrerem apenas em um tipo específico de comportamento, como acesso de determinado cliente ou atualização da página inicial, enquanto a maioria das demais cargas de trabalho opera normalmente, a causa provável é uma regra específica. Nesse caso, modifique apenas a regra de mitigação correspondente.
Alterações no serviço
- Quando houver mudanças significativas no serviço, como novas interfaces externas ou modificações na arquitetura de rede existente, o modo atual pode deixar de ser adequado e causar impactos negativos. Nessa situação, altere o modo.
- Caso o serviço permaneça estável e apenas uma funcionalidade apresente falhas ocasionais, é possível que uma regra de mitigação específica seja incompatível. Nesse cenário, ajuste somente a regra afetada.
Impacto negativo das regras de mitigação no tráfego do serviço
- Teste o modo atual e as regras de mitigação simulando o tráfego do serviço. Se o sistema bloquear uma grande quantidade desse tráfego simulado, considere alterar o modo.
- Se o tráfego simulado acionar apenas uma regra específica e gerar falso positivo, modifique somente essa regra. Por exemplo, consultas legítimas de alta frequência podem ativar uma regra do tipo High-frequency Attack Request; nesse caso, ajuste apenas a regra envolvida.

Identificar qual regra de mitigação alterar

Neste exemplo, utiliza-se a regra de mitigação com ID global_cc_1321b42f0967324a4581f7df931b4b64_C_t. Essa regra protege contra ataques que enviam solicitações HTTP de alta frequência para a página inicial. Falsos positivos podem ocorrer nos seguintes cenários:

Durante eventos promocionais de grande escala, muitos usuários podem atualizar a página inicial repetidamente no primeiro minuto após o início do evento, o que pode gerar falso positivo.
Após a correção de um problema técnico no site, o administrador precisa validar se o desempenho e as funcionalidades foram restaurados. Para agilizar o teste, ferramentas automatizadas podem simular acessos frequentes à página inicial para verificar velocidade de carregamento e disponibilidade de links, o que também pode causar falso positivo.

Consulte os relatórios de análise de ataques e os logs para identificar a regra de mitigação responsável pelo falso positivo. Em seguida, desative a regra ou altere sua ação para Monitor.

Relatórios de análise de ataques

Na página Attack Analysis, localize detalhes sobre ataques de exaustão de recursos web e visualize o ID da regra de proteção ativa na seção Top 10 Hit Policies. No painel de navegação à esquerda, acesse Investigation & Analysis > Attack Analysis para visualizar estatísticas de solicitações bloqueadas por diversas políticas de proteção, como rate limiting, region blocking e fine-grained access control. No painel Top 10 Protection Policies à direita, consulte a lista de regras de proteção classificadas por número de solicitações bloqueadas e clique em Protection Settings para acessar e modifique a regra correspondente.
Logs

Na página Log Analysis, insira last_owner na caixa de pesquisa para visualizar o ID da regra de mitigação ativa. Regras cujo ID começa com global são regras de mitigação global.

No painel de navegação à esquerda, acesse Investigation & Analysis > Full Log Analysis. Na caixa de pesquisa no topo da página, insira last_owner. O painel de campos indexados à esquerda exibe a distribuição de valores desse campo e a porcentagem de ocorrências para cada ID de regra.

Observações de uso

Para sites adicionados ao Anti-DDoS Proxy após 24 de novembro de 2021, a política de mitigação global no modo Normal é ativada automaticamente para o nome de domínio.
Sites adicionados antes de 24 de novembro de 2021 possuem a política de mitigação global desativada por padrão. Recomenda-se ative a política de mitigação global para esses domínios.

Pré-requisitos

Um serviço de site já foi adicionado ao Anti-DDoS Proxy. Para mais informações, consulte Adicionar sites.

Alterar regras de mitigação

Faça login na página General Policies no console do Anti-DDoS Proxy.
Na barra de navegação superior, selecione a região da sua instância.
- Anti-DDoS Proxy (Chinese Mainland): Escolha a região Chinese Mainland.
- Anti-DDoS Proxy (Outside Chinese Mainland): Escolha a região Outside Chinese Mainland.
Clique em na aba Protection for Website Services. Selecione o nome de domínio que deseja gerencie na lista à esquerda.
Na seção Anti-DDoS Global Mitigation Policy, altere o modo ou clique em Settings para modifique as regras de mitigação associadas ao modo.