Anti-DDoS:FAQ

Por que o Anti-DDoS Basic não protege minha instância ECS contra um ataque de 20 Mbit/s?

O Anti-DDoS Basic é um serviço gratuito com limiar mínimo de limpeza de 100 Mbit/s. Quando o tráfego de ataque supera a largura de banda da sua instância, mas permanece abaixo de 100 Mbit/s, o serviço detecta o ataque, porém não aciona a limpeza de tráfego e deixa a instância exposta.

Para ataques inferiores a 100 Mbit/s, siga estas etapas em ordem:

1. Otimize seu servidor. Ajuste a aplicação para suportar cargas maiores de conexão e reduzir a exaustão de recursos sob estresse.

2. Instale um firewall baseado em host. Ferramentas como Yunsuo permitem bloquear IPs maliciosos e limitar a taxa de conexões no nível do host.

3. Faça upgrade para um plano de proteção pago. Adquira uma instância do Anti-DDoS Proxy para obter limiares de limpeza mais altos e capacidade dedicada de mitigação. Consulte Adquirir uma instância do Anti-DDoS Proxy.

Por que não consigo desativar manualmente a filtragem blackhole para uma instância do Anti-DDoS Basic?

A filtragem blackhole opera nas redes dos provedores de serviços de Internet (ISPs), e não diretamente na infraestrutura da Alibaba Cloud. Uma vez acionada, ela descarta o tráfego de ataque no nível do ISP para proteger a rede como um todo, incluindo outros clientes que compartilham a mesma infraestrutura. Os ISPs impõem limites rigorosos sobre a frequência de suspensão da filtragem blackhole; portanto, a Alibaba Cloud não pode substituí-la imediatamente em seu nome.

A equipe de segurança da Alibaba Cloud utiliza algoritmos inteligentes para determinar quando é seguro suspender a filtragem blackhole. Na maioria dos casos, a duração varia de 30 minutos a 24 horas. Se os ataques se repetirem com frequência, a duração aumenta automaticamente. Suspender a filtragem blackhole antes que os ataques cessem desencadeia um novo evento de blackhole, reinicia o contador e afeta outros clientes na rede compartilhada.

Mesmo que você desative a filtragem blackhole, os ataques DDoS não serão mitigados. A instabilidade frequente causada pela ativação e desativação da filtragem blackhole compromete a estabilidade da rede.

Para evitar eventos recorrentes de blackhole, utilize um serviço com capacidade dedicada de mitigação. O Anti-DDoS Native oferece proteção contínua para recursos da Alibaba Cloud. Já o Anti-DDoS Proxy encaminha o tráfego por centros de limpeza de alta capacidade.

Posso usar ACLs para mitigar ataques DDoS e evitar a filtragem blackhole?

Não. Listas de controle de acesso (ACLs) não mitigam ataques DDoS nem previnem a filtragem blackhole. As ACLs só entram em vigor na borda da rede da Alibaba Cloud onde seu servidor está localizado. Nesse ponto, um ataque DDoS originado de múltiplas botnets já consumiu a largura de banda upstream. O volume que chega à borda da rede excede em muito a capacidade de absorção das ACLs.

Uma mitigação eficaz de DDoS exige centros de limpeza implantados nas redes backbone dos ISPs. Os ataques DDoS são limpos no centro de limpeza mais próximo do local de origem, filtrando o tráfego malicioso antes que ele atinja sua infraestrutura. Provedores de nuvem oferecem esse recurso no modelo Software as a Service (SaaS). Dessa forma, a infraestrutura de limpeza é compartilhada entre os usuários, mantendo os custos individuais controláveis. As ACLs não conseguem replicar essa defesa upstream.

Por que os dados de tráfego no console do Anti-DDoS Native diferem dos do CloudMonitor?

Durante um ataque, o console do Anti-DDoS Native quase sempre exibe um volume de tráfego maior que o CloudMonitor. Esse comportamento é esperado e decorre de quatro diferenças na coleta de dados de cada serviço:

Por exemplo: se um ataque DDoS acionar a limpeza a 2,5 Gbit/s, o CloudMonitor pode mostrar uma largura de banda de entrada de apenas 1,2 Gbit/s, correspondente ao tráfego legítimo remanescente após a limpeza.