Quando um service da Alibaba Cloud sofre um ataque DDoS volumétrico e o pico de largura de banda (bps) do tráfego de ataque excede sua capacidade de mitigação de DDoS, a política de filtragem blackhole da Alibaba Cloud bloqueia temporariamente o tráfego entre o service de cloud e a Internet. Isso evita mais danos ao service de cloud e impede que um ataque a um service afete a operação normal de outros ativos. A comunicação de rede normal é afetada. Este tópico descreve como prevenir e lidar com a filtragem blackhole.
Capacidade básica de mitigação de DDoS
Após comprar determinados ativos da Alibaba Cloud que recebem endereços IP públicos, eles possuem uma capacidade gratuita de mitigação do Anti-DDoS Basic de 500 Mbps a 5 Gbps por padrão. A capacidade de mitigação do Anti-DDoS Basic varia de acordo com a região e as especificações do ativo. Para mais informações, consulte visualize the thresholds that trigger blackhole filtering in Anti-DDoS Basic e Configure traffic scrubbing thresholds.
Se o tráfego normal do seu service (bps) exceder o limiar de acionamento do blackhole, atualize prontamente as especificações do seu ativo. Caso contrário, seu tráfego pode ser identificado como tráfego incomum, fazendo com que o ativo entre em filtragem blackhole.
Quanto maior a capacidade de mitigação de DDoS de um ativo, menor a probabilidade de um ataque DDoS acionar a filtragem blackhole. Portanto, aumentar a capacidade de mitigação de DDoS de um ativo, que é o limiar de acionamento do blackhole, é a única maneira de prevenir fundamentalmente a filtragem blackhole.
Visualize o status do ativo, o tráfego e os endereços IP de ataque
Faça login no Traffic Security console.
-
Visualize o status do seu ativo.
No canto superior esquerdo da página Assets, selecione a região onde está localizado o ativo que recebeu um endereço IP público e, em seguida, clique na guia do ativo correspondente.
Na lista de ativos, verifique se o IP Status está como Black Hole Activated.
-
Visualize o tráfego e os endereços IP de ataque do ativo.
Na página Event Center, visualize os eventos de filtragem blackhole ou os eventos de limpeza de tráfego. Você também pode clicar em View Details para visualizar o tráfego de entrada em bps e pps.
No canto superior direito da página, clique em Download. Use uma ferramenta como o Wireshark para abrir o pacote de dados baixado e visualizar os endereços IP de ataque.
-
Se você não conseguir encontrar o endereço IP de destino na notificação no Asset Center, o endereço IP pode estar vinculado a uma instância do Anti-DDoS Proxy em vez de ser um ativo que recebeu um endereço IP público e é gerenciado diretamente pelo Anti-DDoS Native. Mude para o console do Anti-DDoS Proxy para continuar a solução de problemas.
No painel de navegação à esquerda, escolha Anti-DDoS Proxy (Chinese Mainland) ou Anti-DDoS Proxy (Outside Chinese Mainland). A região selecionada deve corresponder à região especificada na notificação. Se você selecionar a região errada, não poderá encontrar a instância.
Acesse Asset Management > Instances.
Na lista de instâncias, verifique a coluna Exclusive IP Address para confirmar se o endereço IP de destino na notificação é o endereço IP exclusivo de uma instância do Anti-DDoS Proxy.
Após confirmar que o endereço IP de destino pertence a uma instância do Anti-DDoS Proxy, use Protection Settings para visualizar as configurações e o status de mitigação, e use visualize Report para visualizar os detalhes do ataque.
Duração estimada do blackhole
A duração padrão do blackhole é de 2,5 horas. A duração real do blackhole varia de acordo com a frequência com que o ativo é atacado e varia de 30 minutos a 24 horas. Em casos raros, pode ser maior. A duração do blackhole é afetada principalmente pelos seguintes fatores:
Se o ataque continua. Se o ataque continuar, a duração do blackhole será estendida e recalculada a partir do momento da extensão.
Se os ataques são frequentes. Se um usuário for atacado pela primeira vez, a duração do blackhole será reduzida automaticamente. Por outro lado, usuários que sofrem ataques frequentes têm maior probabilidade de serem atacados continuamente, portanto, a duração do blackhole é estendida.
Para determinados usuários cujos ativos entram em filtragem blackhole com muita frequência, a Alibaba Cloud reserva-se o direito de estender a duração do blackhole e reduzir o limiar de acionamento do blackhole. A duração real do blackhole está sujeita à notificação de evento de segurança.
Como desativar a filtragem blackhole
Durante a filtragem blackhole, a Alibaba Cloud monitora continuamente o status do ataque DDoS. Algum tempo após o término do ataque, a Alibaba Cloud desativa automaticamente a filtragem blackhole para o ativo e restaura seu acesso à Internet. Se você precisar restaurar seu service com urgência enquanto o ativo estiver em filtragem blackhole, poderá comprar um product Anti-DDoS comercial e, em seguida, desativar manualmente a filtragem blackhole.
A filtragem blackhole bloqueia o acesso à rede pública ao ativo na camada de roteador upstream da Alibaba Cloud e não está relacionada ao status de execução do ativo. Portanto, as operações realizadas no lado do servidor durante a filtragem blackhole, como reiniciar a instância, reverter um snapshot de disco, reinstalar o sistema operacional ou modificar grupos de segurança ou configurações do sistema, não afetam o status da filtragem blackhole. Essas operações também não podem restaurar conexões remotas, como Secure Shell (SSH) e Remote Desktop Protocol (RDP), ou painéis de gerenciamento que dependem de acesso à rede pública.
A restauração do acesso à rede pública depende apenas da desativação da filtragem blackhole. Se você não comprou um product Anti-DDoS comercial, só pode esperar a duração do blackhole expirar, que é de 2,5 horas por padrão e varia de 30 minutos a 24 horas na prática. Para obter detalhes, consulte a seção "Duração estimada do blackhole" neste tópico. Após a desativação da filtragem blackhole, tente a conexão novamente. Reiniciar a instância repetidamente ou modificar configurações com frequência não ajuda a restaurar seu service e pode introduzir riscos adicionais de dados ou configuração. Para restaurar seu service imediatamente, consulte as seções a seguir sobre como comprar e usar um product Anti-DDoS comercial.
Sem um product Anti-DDoS comercial
A desativação manual não é suportada. Você só pode esperar a duração do blackhole expirar, após o qual a filtragem blackhole é desativada automaticamente. Se você precisar restaurar seu service com urgência ou fazer login no servidor para obter arquivos, consulte Restore workloads after blackhole filtering is triggered on an Elastic Compute Service (ECS) instance.
Se você alterar ou liberar com frequência ativos de cloud atacados, como endereços ECS, endereços IP elásticos (EIPs), endereços SLB e Simple Application Servers, e o efeito se espalhar para os tenants de cloud como um todo, restrições da plataforma podem ser impostas.
Após alterar o endereço IP público de um ativo ou substituir o servidor do service, os invasores ainda podem obter o novo endereço IP usando métodos como fazer ping no seu nome de domínio e, em seguida, lançar outro ataque. Para resolver a causa raiz, compre o Anti-DDoS Native ou o Anti-DDoS Proxy.
Com um product Anti-DDoS comercial
Você pode esperar a duração do blackhole expirar e ter a filtragem blackhole desativada automaticamente, ou pode desativar manualmente a filtragem blackhole. Desativar manualmente a filtragem blackhole não significa que os ataques DDoS podem ser mitigados. Isso apenas ganha tempo para implantar um plano de mitigação. Após desativar manualmente a filtragem blackhole, se o ataque DDoS não tiver terminado, o ativo poderá ser atacado novamente e entrar em filtragem blackhole.
Service Anti-DDoS comercial | Método de desativação manual | Descrição |
Anti-DDoS Native |
| O número de desativações manuais disponíveis por mês é limitado e geralmente não é inferior ao número de endereços IP protegidos em suas especificações. |
Anti-DDoS Proxy (Chinese Mainland) |
|
|
Anti-DDoS Proxy (Outside Chinese Mainland) | A desativação manual não é necessária. | Ao contrário das instâncias do Anti-DDoS Proxy (Chinese Mainland), que possuem largura de banda de mitigação fixa, as instâncias do Anti-DDoS Proxy (Outside Chinese Mainland) fornecem mitigação avançada sem limite superior. Em circunstâncias normais, a desativação manual não é necessária. |
Selecione um product Anti-DDoS
Anti-DDoS Native: O Anti-DDoS Native é um product de segurança que aumenta diretamente a capacidade de mitigação de DDoS dos services da Alibaba Cloud. É simples de implantar e não requer alterações na sua arquitetura de rede. Não há limites para portas da Camada 4 ou o número de nomes de domínio da Camada 7. Associe o endereço IP de um service de cloud a uma instância do Anti-DDoS Native para ativar a mitigação.
Anti-DDoS Proxy: O Anti-DDoS Proxy (Anti-DDoS) é um service de mitigação de ataques DDoS baseado em proxy fornecido pela Alibaba Cloud. Ele defende contra ataques DDoS volumétricos e ataques DDoS de exaustão de recursos e suporta a proteção de servidores da Alibaba Cloud, servidores não Alibaba Cloud e servidores fora da cloud. Após seu service ser adicionado ao Anti-DDoS Proxy, quando ocorre um ataque DDoS volumétrico, o Anti-DDoS Proxy usa a resolução DNS para redirecionar o tráfego para um centro de limpeza de DDoS e encaminha o tráfego limpo para o servidor.
Para orientações detalhadas de seleção e informações de faturamento, consulte How to selecione an Anti-DDoS product, Anti-DDoS Native billing e Anti-DDoS Proxy billing.