A Alibaba Cloud oferece de 500 Mbps a 5 Gbps de capacidade gratuita de mitigação do Anti-DDoS Basic para services cloud selecionados. O Anti-DDoS Basic protege contra ataques DDoS comuns nas camadas de rede e de transporte. Este tópico descreve o Anti-DDoS Basic.
Visão geral do product
O Anti-DDoS Basic é um service de segurança gratuito integrado à Alibaba Cloud. Ele fornece mitigação gratuita de DDoS para ativos com endereços IP públicos atribuídos, como instâncias do Elastic Compute Service (ECS), instâncias do Server Load Balancer (SLB) e endereços IP elásticos (EIPs). Ao alugar um servidor na Alibaba Cloud ou ativar um service cloud com endereço IP público, o Anti-DDoS Basic entra em vigor automaticamente. Ele oferece defesa contra ataques nas camadas de rede e de transporte, além de limpeza de tráfego, sem necessidade de compra ou configuração adicional. O Anti-DDoS Basic vem ativado por padrão e não pode ser desativado. A capacidade gratuita de mitigação de DDoS varia de 500 Mbps a 5 Gbps. Para verificar a capacidade específica de mitigação de cada service cloud, consulte Visualize the thresholds that trigger blackhole filtering in Anti-DDoS Basic.
Se um recurso sofrer ataques frequentes, a plataforma ajustará sua capacidade de mitigação com base no histórico de ataques para manter a estabilidade geral da plataforma.
Em circunstâncias normais, o Anti-DDoS Basic geralmente não afeta o acesso regular. No entanto, métodos de ataque (como HTTP_Flood, SYN_Flood e ACK_Flood), vetores de ataque e cenários de service específicos (como tráfego que excede as especificações da plataforma ou do product) podem impactar o acesso. Caso o Anti-DDoS Basic não atenda aos seus requisitos, utilize services de proteção mais avançados, como Anti-DDoS Native ou Anti-DDoS Proxy. Para mais informações, consulte What is Anti-DDoS Native?, What is Anti-DDoS Proxy? e How to selecione an Anti-DDoS product.
Como funciona
O Anti-DDoS Basic aplica um limiar de limpeza padrão, mas você também pode configure um limiar personalizado. Quando as condições de limpeza de tráfego são atendidas, o Anti-DDoS Basic filtra e limpa todo o tráfego proveniente da Internet. Isso protege contra ataques comuns nas camadas de rede e de transporte, como ataques de reflexão UDP e ataques SYN/ACK Flood. O Anti-DDoS Basic não protege contra ataques na camada de aplicação, como ataques HTTP Flood e ataques CC.
O Anti-DDoS Basic utiliza dois métodos para determinar quando acionar a limpeza de tráfego: os limiares de limpeza BPS/PPS configurados por você e uma análise inteligente baseada em IA. Com base nas capacidades de big data da Alibaba Cloud, o sistema aprende a linha de base de tráfego do seu service e usa algoritmos para identificar padrões de ataque. A limpeza de tráfego é acionada apenas quando a análise de IA detecta um ataque DDoS e o tráfego de entrada excede o limiar BPS ou PPS configurado. Esse mecanismo de verificação dupla ajuda a evitar falsos positivos, que podem ocorrer se um pico normal de tráfego ultrapassar um limiar fixo.
Se o tráfego de entrada exceder a capacidade de mitigação (o limiar de ativação do blackhole), o service cloud será adicionado a um blackhole. Isso impede que um ataque DDoS cause danos maiores ao service cloud e evita que um ataque a um único service cloud afete a operação normal de outros ativos. Em um blackhole, a Alibaba Cloud bloqueia temporariamente o tráfego de entrada da Internet destinado ao service cloud. Para mais informações, consulte Alibaba Cloud blackhole filtering policy.
Services cloud compatíveis
Instâncias do Elastic Compute Service (ECS), instâncias do Server Load Balancer (SLB), endereços IP elásticos (EIPs), EIPs associados a um gateway NAT, gateways IPv6, Simple Application Servers, instâncias do Web Application Firewall (WAF), instâncias do Global Accelerator (GA) e Anycast EIPs.
Regiões compatíveis
A tabela a seguir lista as regiões compatíveis com o Anti-DDoS Basic.
Área | Região |
Ásia-Pacífico | Thailand (Bangkok), Philippines (Manila), Japan (Tokyo), Indonesia (Jakarta), Malaysia (Kuala Lumpur), South Korea (Seoul), Singapore, China (Hong Kong), China (Chengdu), China (Guangzhou), China (Heyuan), China (Shenzhen), China (Ulanqab), China (Hohhot), China (Zhangjiakou), China (Beijing), China (Qingdao), China (Shanghai), China (Hangzhou) |
Europa e Américas | UK (London), Germany (Frankfurt), US (Virginia) e US (Silicon Valley) |
Oriente Médio | SAU (Riyadh) e UAE (Dubai) |
Termos
Ataques na camada de rede: Os tipos comuns incluem ataques de reflexão UDP, ataques SYN Flood de alto volume, ataques ACK Flood e pacotes malformados fora de conformidade com o protocolo IP. Esses ataques consomem recursos de largura de banda do servidor para causar negação de service.
Ataques na camada de aplicação: Os tipos comuns incluem ataques HTTP Flood, ataques CC e ataques DNS Flood. Trata-se de ataques de exaustão baseados nas características do service, que consomem a capacidade de processamento do servidor para causar negação de service.
Perguntas frequentes
-
Por que minha instância é alvo de ataques DDoS?
Ataques DDoS, como ataques volumétricos, são comportamentos maliciosos comuns na Internet. Atacantes controlam grandes botnets e enviam volumes massivos de tráfego malicioso para um alvo visando esgotar seus recursos de largura de banda, o que impede o acesso de usuários legítimos.
Qualquer ativo IP exposto à Internet pode se tornar alvo de um ataque DDoS. Esses ataques não visam apenas usuários ou services específicos. Motivos comuns para um ataque DDoS incluem:
Seu service possui alta visibilidade na Internet, facilitando a localização por atacantes.
Ataques direcionados motivados por concorrência no setor ou retaliação maliciosa.
O endereço IP do seu servidor foi escaneado aleatoriamente por atacantes e adicionado a uma lista de alvos.
O Anti-DDoS Basic detecta automaticamente tráfego incomum e inicia a limpeza de tráfego para filtrar o tráfego de ataque e proteger o acesso normal ao service. Se o tráfego de ataque exceder a capacidade de mitigação do Anti-DDoS Basic, faça upgrade para o Anti-DDoS Native ou Anti-DDoS Proxy para obter um nível superior de proteção.
-
O Anti-DDoS Basic bloqueia pacotes UDP e tráfego?
Por padrão, o Anti-DDoS Basic bloqueia pacotes UDP oversized e tráfego UDP fragmentado. Como os ataques de reflexão UDP geralmente usam pacotes grandes ou fragmentados para amplificar o tráfego de ataque, o Anti-DDoS Basic consegue defender eficazmente contra esses ataques filtrando e bloqueando tal tráfego.
No entanto, esse mecanismo de bloqueio pode afetar services normais que dependem de pacotes UDP grandes ou transmissão UDP fragmentada. Por exemplo, se tráfego UDP grande ou fragmentado for bloqueado, um service de videomonitoramento que utiliza o protocolo GB28181 para cascateamento de padrão nacional poderá enfrentar problemas como falhas de cascateamento ou interrupções nos fluxos de vídeo.
Caso seu service precise utilizar pacotes UDP grandes ou tráfego UDP fragmentado, faça upgrade para um service avançado de mitigação que suporte uma política personalizada de proteção UDP, como o Anti-DDoS Proxy. Isso evita que o tráfego legítimo do service seja bloqueado por engano. Para mais informações, consulte What is Anti-DDoS Native?.
Referências
O limiar máximo de limpeza compatível com cada service cloud depende das especificações da instância desse service. Para mais informações, consulte Cloud service specifications and scrubbing thresholds.
Para saber como configure um limiar de limpeza, consulte Configure traffic scrubbing thresholds.