O Anti-DDoS Basic é um service gratuito de proteção contra DDoS integrado aos products da Alibaba Cloud. Ao adquirir um servidor da Alibaba Cloud, como uma instância do Elastic Compute Service (ECS) ou qualquer recurso de cloud com endereço IP público, o Anti-DDoS Basic é ativado automaticamente como um service de segurança gratuito e não pode ser desativado. Ele oferece capacidade de mitigação entre 500 Mbps e 5 Gbps, fornecendo defesa contra ataques nas camadas de rede (L3) e transporte (L4), além de limpeza de tráfego para seus ativos com IP público. Para consultar as capacidades específicas de mitigação de cada service de cloud, visualize Visualizar os limiares que acionam a filtragem blackhole no Anti-DDoS Basic.
Caso um recurso seja alvo frequente de ataques, a plataforma ajusta sua capacidade de mitigação com base no histórico de ataques para manter a estabilidade geral.
Como funciona
O Anti-DDoS Basic protege os recursos de cloud por meio de dois mecanismos:
Análise de tráfego baseada em IA. O Anti-DDoS Basic aplica um limiar padrão de limpeza, que você também pode configurar manualmente. Ele monitora continuamente o tráfego de entrada utilizando as capacidades de big data da Alibaba Cloud. Em vez de depender apenas de limiares fixos, o sistema aprende os padrões normais de tráfego e detecta anomalias. A limpeza de tráfego é acionada somente quando duas condições são atendidas simultaneamente: a IA detecta um ataque DDoS e o tráfego de entrada atinge o limiar de BPS ou PPS definido por você. Essa abordagem de condição dupla evita falsos positivos causados por picos legítimos de tráfego.
Filtragem blackhole. Se um ataque superar a capacidade de mitigação (o limiar de acionamento do blackhole), a Alibaba Cloud bloqueia temporariamente todo o tráfego de entrada destinado ao recurso afetado. Essa medida contém o ataque e impede que ele degrade outros ativos na plataforma. Para mais detalhes, consulte Política de filtragem blackhole da Alibaba Cloud.
O Anti-DDoS Basic defende contra ataques nas camadas de rede e transporte (L3/L4), como ataques de reflexão UDP e ataques SYN/ACK Flood. Ele não oferece proteção contra ataques na camada de aplicação (L7), como ataques HTTP Flood e ataques CC. Sob certas condições — incluindo ataques HTTP Flood ou SYN Flood de grande volume, ou tráfego que exceda as especificações da plataforma — o acesso ao service pode ser afetado mesmo com o Anti-DDoS Basic ativo.
Products de cloud protegidos
O Anti-DDoS Basic está integrado aos seguintes products da Alibaba Cloud e vem ativado por padrão. Não é possível desativá-lo.
Instâncias do Elastic Compute Service (ECS)
Instâncias do Server Load Balancer (SLB)
Endereços Elastic IP (EIPs)
EIPs associados a um NAT gateway
Gateways IPv6
Simple Application Servers
Instâncias do Web Application Firewall (WAF)
Instâncias do Global Accelerator (GA)
Anycast EIPs
Regiões suportadas
Área | Região |
Ásia-Pacífico | Thailand (Bangkok), Philippines (Manila), Japan (Tokyo), Indonesia (Jakarta), Malaysia (Kuala Lumpur), South Korea (Seoul), Singapore, China (Hong Kong), China (Chengdu), China (Guangzhou), China (Heyuan), China (Shenzhen), China (Ulanqab), China (Hohhot), China (Zhangjiakou), China (Beijing), China (Qingdao), China (Fuzhou - Local Region), China (Nanjing - Local Region), China (Shanghai), China (Hangzhou) |
Europa e Américas | UK (London), Germany (Frankfurt), US (Virginia), US (Silicon Valley) |
Oriente Médio | SAU (Riyadh - Partner Region), UAE (Dubai) |
Tipos de ataque e cobertura
|
Tipo de ataque |
Camada OSI |
Mecanismo |
Coberto pelo Anti-DDoS Basic |
|
Ataques volumétricos de rede |
L3 |
Consomem a largura de banda do servidor inundando a rede com pacotes malformados ou tráfego de alto volume (ex.: ataques de reflexão UDP) |
Sim |
|
Ataques de inundação na camada de transporte |
L4 |
Esgotam o estado das conexões através da inundação de handshakes de protocolo (ex.: ataques SYN Flood, ataques ACK Flood) |
Sim |
|
Ataques na camada de aplicação |
L7 |
Consomem a capacidade de processamento do servidor com requisições aparentemente legítimas (ex.: ataques HTTP Flood, ataques CC, ataques DNS Flood) |
Não |
Próximos passos
Ajuste os limiares de limpeza. Personalize os limiares de BPS e PPS que acionam a limpeza de tráfego. O limiar máximo depende das especificações da sua instância de product de cloud. Consulte Definir limiares de limpeza e Especificações de products de cloud e limiares de limpeza.
Verifique os limiares de blackhole por product. Revise os limiares de filtragem blackhole para cada product de cloud suportado. Visualize Limiares que acionam a filtragem blackhole no Anti-DDoS Basic.
Atualize sua proteção. Caso o Anti-DDoS Basic não atenda aos seus requisitos, considere um product pago:
Anti-DDoS Native: proteção aprimorada contra ataques volumétricos sem alteração do seu endereço IP.
Anti-DDoS Proxy: proteção baseada em centro de limpeza para ataques de alto volume e ameaças na camada de aplicação.
Para obter ajuda na escolha, consulte Soluções Anti-DDoS para cenários específicos.
Perguntas frequentes
-
Por que minha instância é alvo de ataques DDoS?
Ataques DDoS, como os ataques volumétricos, são atividades maliciosas comuns na Internet. Os atacantes inundam seus alvos com volumes massivos de tráfego malicioso para esgotar os recursos de largura de banda, resultando em negação de service.
Qualquer recurso com um endereço IP público pode se tornar alvo de um ataque DDoS. Esses ataques não se limitam a usuários ou indústrias específicas — qualquer ativo exposto à Internet corre riscos potenciais.
O Anti-DDoS Basic da Alibaba Cloud detecta automaticamente ataques DDoS e inicia a limpeza de tráfego para filtrar o tráfego malicioso, preservando o acesso normal aos negócios. Se o volume do ataque exceder a capacidade de mitigação do Anti-DDoS Basic, considere atualizar para o Anti-DDoS Native ou Anti-DDoS Proxy para obter uma proteção aprimorada.
-
O Anti-DDoS Basic suporta o bloqueio de pacotes e tráfego UDP?
Para prevenir ataques de reflexão UDP e outros ataques volumétricos, o Anti-DDoS Basic bloqueia por padrão pacotes UDP oversized e tráfego UDP fragmentado.
Essa filtragem padrão pode causar falhas de conexão ou anomalias em services que dependem de pacotes UDP grandes ou fragmentação UDP, tais como:
Sistemas de videomonitoramento baseados em GB28181 que utilizam conexões em cascata
Outras aplicações que transmitem datagramas UDP grandes
Se o seu service exigir pacotes UDP grandes ou tráfego UDP fragmentado, atualize para um product de proteção pago que suporte políticas personalizadas de filtragem UDP, como o Anti-DDoS Proxy.