Política global de mitigação para instâncias do Anti-DDoS Proxy - Anti-DDoS: Central de Documentação do Alibaba Cloud

Ao adicionar seu serviço a uma instância do Anti-DDoS Proxy, a instância aplica automaticamente uma política global de mitigação. Essa política oferece dois modos: o tradicional, com três níveis fixos de proteção (Loose, Normal e Strict), e o AI Autopilot, no qual o SecOps Agent gera e otimiza políticas inteligentemente com base no perfil do seu negócio. Ao escolher o nível adequado, você equilibra a força da proteção e o risco de falsos positivos.

Como funciona

O mecanismo anti-DDoS acumula regras de mitigação a partir de um grande volume de eventos reais de ataque. Quando um ataque volumétrico com características conhecidas atinge o endereço IP da sua instância, a política global de mitigação intercepta o tráfego antes que ele chegue ao servidor de origem.

A política abrange toda a instância: cada site, serviço de aplicação e nó de serviço entre regiões adicionados à mesma instância do Anti-DDoS Proxy recebem proteção da mesma política.

Nota

A política global de mitigação é ativada apenas quando o endereço IP da instância do Anti-DDoS Proxy está sob ataque. Ela não afeta o tráfego durante operações normais.

Escolha uma política

A política global de mitigação suporta as duas políticas de proteção a seguir:

Política	Visão geral	Requisitos de edição	Casos de uso
Tradicional	Oferece três níveis fixos de proteção: Loose, Normal e Strict. Selecione manualmente um nível de proteção conforme as necessidades do seu negócio. Para mais informações sobre os níveis de proteção, consulte Política tradicional.	Disponível para todas as instâncias do Anti-DDoS Proxy. A edição Standard suporta apenas o modo tradicional. O nível de proteção padrão é Normal.	Indicado quando você precisa de um nível específico de proteção.
AI Autopilot	O SecOps Agent analisa inteligentemente o perfil de tráfego e as características do negócio da sua instância para gerar automaticamente uma política de proteção ideal. A política é ajustada continuamente com base na evolução do cenário de ataques e defesas. Use linguagem natural para se comunicar com o SecOps Agent, adicionar requisitos de negócio ou ajustar a postura de proteção.	Disponível apenas para instâncias Enhanced do Anti-DDoS Proxy (Chinese Mainland) e Anti-DDoS Proxy (Outside Chinese Mainland). Na edição Enhanced, o modo AI Autopilot vem ativado por padrão, e é possível alternar entre os modos.	Recomendado para cenários em que se deseja uma política de proteção inteligente e personalizada.

Pré-requisitos

Um serviço de site ou serviço não-site foi adicionado ao Anti-DDoS Proxy. Para mais informações, consulte Adicionar sites ou Gerencie regras de encaminhamento.
Modo AI Autopilot: Suportado apenas pela edição Enhanced. A edição Standard não suporta este modo.

Política tradicional

No modo tradicional, ajuste a política de proteção seguindo estes passos:

Faça login no console do Anti-DDoS Proxy.
No painel de navegação à esquerda, escolha Mitigation Settings > General Policies.
Na aba Protection for Infrastructure, dentro da seção Anti-DDoS Global Mitigation Policy, ajuste a Mitigation Policy. Selecione Loose ou Strict.

Política	Método de mitigação	Descrição
Normal	Filtra pacotes malformados fora das especificações do protocolo. Filtra pacotes TCP, UDP e ICMP com características claras de ataque. Filtra pacotes fragmentados e pacotes não transmitidos via TCP, UDP ou ICMP. Filtra todo o tráfego em desconformidade com o protocolo da porta de encaminhamento.	A política global de mitigação Loose protege apenas contra pacotes com características claras de ataque. No entanto, o tráfego de ataques complexos pode ser transmitido transparentemente ao servidor de origem. Recomendamos selecionar esta política somente se houver falsos positivos no seu serviço.
Strict	Filtra pacotes malformados fora das especificações do protocolo. Filtra pacotes TCP, UDP e ICMP com características claras de ataque. Filtra pacotes fragmentados e pacotes não transmitidos via TCP, UDP ou ICMP. Filtra todo o tráfego em desconformidade com o protocolo da porta de encaminhamento. Verifica alguns endereços IP de onde partem solicitações anômalas e aplica limitação de taxa nesses IPs. Verifica pacotes UDP e limita-os com base nos resultados da verificação.	A política global de mitigação Normal equilibra disponibilidade do serviço e eficácia da proteção. Esta política é adequada para a maioria dos serviços e mitiga ataques DDoS comuns.
Loose	Filtra pacotes malformados fora das especificações do protocolo. Filtra pacotes TCP, UDP e ICMP com características claras de ataque. Filtra pacotes fragmentados e pacotes não transmitidos via TCP, UDP ou ICMP. Filtra todo o tráfego em desconformidade com o protocolo da porta de encaminhamento. Verifica rigorosamente alguns endereços IP de onde partem solicitações e aplica limitação de taxa nesses IPs. Verifica rigorosamente pacotes UDP e limita-os com base nos resultados da verificação.	A política global de mitigação Strict oferece proteção robusta. Em casos raros, podem ocorrer falsos positivos. Recomendamos selecionar esta política apenas se o tráfego de ataque estiver sendo transmitido transparentemente ao servidor de origem.

AI Autopilot (Beta)

Importante

O modo AI Autopilot está disponível apenas para instâncias Enhanced do Anti-DDoS Proxy (Chinese Mainland) e Anti-DDoS Proxy (Outside Chinese Mainland). Se sua instância não for Enhanced, o botão Normal não será exibido.

Ative o modo AI Autopilot

Faça login no console do Anti-DDoS Proxy.
No painel de navegação à esquerda, escolha Strict > General Policies.
Na aba Mitigation Settings, selecione a instância Enhanced Edition desejada (identificada pela tag ) na lista de instâncias à esquerda.
Na seção Anti-DDoS Global Mitigation Policy à direita, clique em Start Auto-Pilot.
Na caixa de diálogo SecOps Agent, configure as opções abaixo e clique em OK.
1. Start Auto-Pilot: O SecOps Agent analisa automaticamente seus dados históricos de tráfego para gerar um perfil de negócio com base nas seguintes dimensões:
  - Tipo de negócio: Por exemplo, plataforma de e-commerce, jogos ou serviço de conteúdo. É possível adicionar ou remover tags.
  - Distribuição geográfica do serviço: Por exemplo, exportação da China ou cobertura global.
  - Padrão de flutuação de tráfego: Por exemplo, tráfego impulsionado por eventos ou tráfego estável.
  - Escala do negócio: Por exemplo, média escala ou grande escala.
  Se o perfil gerado pela IA não corresponder ao seu negócio real, modifique manualmente as tags para garantir que a política de proteção atenda melhor às suas necessidades.
2. Tell Us More (Opcional): Especifique seus requisitos de proteção das seguintes formas:
  - Clique nas tags de acesso rápido: Por exemplo, Insights, E-Commerce Peak, Starter Plan, Financial Security, Game Launch ou API Protection.
  - Use linguagem natural: Descreva seu cenário de negócio e necessidades de proteção na caixa de texto. Exemplo: "Preciso de proteção para o próximo festival de compras 618. Espera-se que o tráfego seja 100 vezes maior que o normal."
Na caixa de diálogo de confirmação exibida, verifique as tags inteligentes de perfil e clique em Live Streaming.

Visualize a política do AI Autopilot

Após ativar o modo, a seção DDoS Global Mitigation Policy exibe o indicador AI Autopilot. Na seção Live, visualize os ajustes proativos que o sistema faz em resposta aos padrões de ataque em tempo real.

Descrição da política: Uma lista de regras de proteção específicas personalizadas pelo SecOps Agent com base no perfil do negócio.
Ajustes da política:
- Manter: Se a política atual for adequada, ignore o aviso.
- Substituir: Quando o SecOps Agent identifica uma oportunidade de otimização, ele ajusta a política com base em sua análise. Nenhuma intervenção manual é necessária. O sistema fornece o motivo do ajuste.

Ajustar a política de proteção automatizada

No modo AI Autopilot, ajuste a política de proteção a qualquer momento usando o SecOps Agent.

Na seção Anti-DDoS Global Mitigation Policy, clique em SecOps Agent.
Na caixa de diálogo SecOps Agent, execute as seguintes operações:
- Modifique o perfil inteligente: Altere as tags de tipo de negócio, distribuição geográfica do serviço, padrão de flutuação de tráfego e escala do negócio no perfil inteligente.
- Adicionar requisitos de proteção: Na seção Tell Us More, ajuste as tags de acesso rápido ou use linguagem natural para adicionar novos requisitos de proteção, como "Reforçar a proteção para o próximo festival de compras 618."
Clique em OK. O SecOps Agent reanalisa e ajusta a política de proteção com base nas informações atualizadas.

Alternar políticas

Mudar para a política tradicional:
- Na seção Anti-DDoS Global Mitigation Policy à direita, clique em OK.
- Selecione um nível de proteção (Anti-DDoS Global Mitigation Policy, Quit ou Loose) e clique em Normal.
Mudar para o AI Autopilot: Consulte Ative o modo AI Autopilot.

Faturamento

Durante o beta público, o AI Autopilot está disponível sem custo adicional para usuários da Enhanced Edition do Anti-DDoS Proxy. Para mais informações sobre as edições, consulte Diferenças entre Standard Edition e Enhanced Edition.