Como selecionar um produto Anti-DDoS - Anti-DDoS: Central de Documentação do Alibaba Cloud

Um guia de decisão para selecionar o produto Anti-DDoS ideal e proteger seu negócio contra ataques DDoS.

Utilize este guia para compreender os conceitos fundamentais de proteção contra DDoS e selecionar o produto Anti-DDoS adequado ao seu cenário. A Alibaba Cloud oferece uma matriz escalonada de produtos de proteção contra DDoS para proteger seu negócio contra diversos tipos de ataques e garantir a continuidade e a estabilidade do serviço.

Conceitos fundamentais

Compreender os conceitos fundamentais a seguir é essencial para tomar as decisões de seleção corretas.

Termos principais

Termo	Descrição
Ataque DDoS	Abreviação de ataque de Negação de Serviço Distribuída, um método comum de ataque cibernético. Ele exaure os recursos de rede ou de dispositivos de rede por meio de tráfego malicioso, impedindo o funcionamento normal de sites ou a entrega de serviços online. Para mais informações, consulte DDoS attack overview.
Blackhole	Um mecanismo de limpeza de tráfego. Quando o tráfego de ataque direcionado a um IP excede sua capacidade básica de proteção, a operadora descarta todo o tráfego para esse IP (incluindo o tráfego legítimo) para proteger a estabilidade geral da rede da Alibaba Cloud. Isso causa a interrupção completa do negócio nesse IP por um período. A compra do Anti-DDoS Proxy fornece proteção de maior capacidade, evitando que seu IP entre em estado de blackhole.
Limpeza de tráfego	Por meio de uma série de algoritmos de detecção e identificação, o tráfego de ataque malicioso é separado do tráfego normal do negócio e descartado. Apenas o tráfego limpo do negócio é encaminhado de volta ao servidor de origem, garantindo a disponibilidade do serviço.

Definições dos produtos

Anti-DDoS Basic: Um serviço de proteção básica gratuito fornecido para serviços selecionados da Alibaba Cloud. Ele pode defender contra ataques de pequena escala, mas tem capacidade de proteção limitada (500 Mbps a 5 Gbps). Quando o tráfego de ataque excede o limiar, o IP alvo entra em estado de blackhole, causando interrupção do negócio.
Anti-DDoS Native: Um serviço de segurança que aprimora diretamente a capacidade de defesa contra DDoS dos serviços da Alibaba Cloud. É simples de implantar, sem exigir alterações na arquitetura de rede ou nos IPs do negócio. Ele defende principalmente contra ataques DDoS volumétricos das camadas 3 e 4.
Anti-DDoS Proxy: Um serviço de proteção baseado em proxy que roteia o tráfego do negócio por meio de resolução DNS para centros globais de limpeza para mitigação. Ele oculta efetivamente os IPs do servidor de origem e fornece defesa abrangente contra ataques DDoS nas camadas de rede, transporte e aplicação (incluindo CC HTTP/HTTPS).

Detalhes da estratégia de proteção

Nota

Se você precisar de uma solução de segurança personalizada (como capacidade ultralta ou proteção UDP na camada de aplicação), entre em contato com o gerente da sua conta.

Comparação de produtos

Dimensão	Anti-DDoS Basic	Anti-DDoS Native	Anti-DDoS Proxy
Cenários aplicáveis	Sensível a custos Serviços não críticos que toleram breves interrupções Ataques de pequena escala	Grande número de IPs ou portas Largura de banda alta do negócio (por exemplo, largura de banda do negócio superior a 1 Gbps, consultas por segundo (QPS) de negócio HTTP e HTTPS superiores a 5.000) sem a possibilidade de alterar os IPs públicos Requer latência ultrabaixa para garantir a continuidade do negócio durante grandes ataques de tráfego Ataques DDoS ocasionais	Ataques frequentes e campanhas de ataque em evolução Requer defesa contra ataques CC sofisticados na camada de aplicação Requer alteração dos IPs públicos do negócio
Faturamento	Gratuito.	Assinatura (pré-pago): Disponível no Anti-DDoS Native (SMB) e Anti-DDoS Native (Enterprise). Para detalhes, consulte Anti-DDoS Native 2.0 (Subscription). Nota Produto de nuvem aprimorado está disponível apenas para o Enterprise. Pagamento conforme o uso (pós-pago): Para detalhes, consulte Pay-as-you-go details.	Taxa da instância (pré-pago): Pagamento mensal ou anual com base na largura de banda de proteção básica, largura de banda do negócio e QPS selecionados. Taxa de proteção elástica (pós-pago): Cobrada diariamente com base nos picos reais de tráfego de ataque apenas quando o tráfego de ataque DDoS excede a largura de banda de proteção básica. Taxa de largura de banda/QPS elástica do negócio (pós-pago): Cobrada pelo percentil 95 diário ou mensal apenas quando o tráfego normal do negócio ou QPS excede a especificação básica. Plano de recursos de proteção avançada: Opcionalmente, adquira planos de recursos de proteção avançada para instâncias específicas. Para mais informações, consulte Anti-DDoS Proxy pricing.
Mecanismo principal	Integrado aos serviços em nuvem. Descarta automaticamente o tráfego (blackhole) quando o tráfego excede o limiar para garantir a estabilidade da rede do provedor de nuvem.	Associa-se a recursos em nuvem sem alterar os IPs do negócio. Executa a limpeza de tráfego quando os ataques excedem o limiar.	Redireciona o tráfego para centros de limpeza dedicados por meio de modificação de DNS. Todo o tráfego é limpo antes do encaminhamento para garantir a disponibilidade do servidor de origem.
Método de acesso	Ativado automaticamente. Nenhuma ação manual necessária.	Associe objetos protegidos no console.	Modifique a resolução DNS para direcionar o tráfego para IPs Premium.
Objetos protegidos	Selecione serviços da Alibaba Cloud, incluindo ECS, SLB, EIP e mais.	Produtos de nuvem padrão: Instâncias do Elastic Compute Service (ECS), instâncias do Server Load Balancer (SLB), endereços IP elásticos (EIPs), EIPs associados a um NAT gateway, IPv6 gateways, Simple Application Servers, instâncias do Web Application Firewall (WAF), instâncias do Global Accelerator (GA) e Anycast EIPs.	Qualquer endereço IP público.
Capacidade de proteção	Baixa. Baseada em defesa em nuvem, de 500 Mbps a 5 Gbps. Para detalhes, consulte Thresholds That Trigger Blackhole Filtering in Anti-DDoS Basic.	Produtos de nuvem padrão:Moderada. Baseada em defesa em nuvem, até centenas de Gbps. Produto de nuvem aprimorado:Alta. Baseada nos centros globais de limpeza da Alibaba Cloud, com capacidade de mitigação superior a 1 Tbps. Para detalhes, consulte What Is Anti-DDoS Native?.	Alta. Baseada nos centros globais de limpeza da Alibaba Cloud, com capacidade de mitigação superior a 1 Tbps.

Comparação dos tipos de ataque DDoS defendidos

Tipo de ataque	Descrição	Anti-DDoS Native		Anti-DDoS Proxy
		Produtos de nuvem padrão	Produto de nuvem aprimorado
Ataques DDoS na camada de rede	Inclui Frag Flood, Smurf, Stream Flood, Land Flood, pacotes IP malformados, pacotes TCP malformados, pacotes UDP malformados e mais.	Suportado	Suportado	Suportado
Ataques DDoS na camada de transporte	Inclui SYN Flood, ACK Flood, UDP Flood, ICMP Flood, RST Flood, reflexão NTP, reflexão SSDP, reflexão DNS e mais.	Suportado	Suportado	Suportado
Ataques DDoS na camada de aplicação (HTTP/HTTPS)	Também conhecidos como ataques Challenge Collapsar (CC) na camada de aplicação web. Inclui CC HTTP/HTTPS e ataques de taxa lenta HTTP (LOIC/HOIC/Slowloris/Pyloris/XOIC) direcionados a serviços baseados em HTTP, como sites, endpoints de API e WebSocket.	Não suportado	Não suportado	Suportado
Ataques DDoS na camada de aplicação (protocolos da camada de aplicação TCP não HTTP/HTTPS)	Também conhecidos como ataques CC na camada de aplicação não web. Inclui CC TCP, conexões vazias TCP e ataques de exaustão de recursos de conexão TCP direcionados a serviços baseados em TCP não HTTP, como protocolos privados, MySQL, MQTT e RTMP.	Não suportado	Suportado Em preview público, atualmente suportado apenas na região China (Hangzhou).	Suportado
Ataques DDoS na camada de aplicação (protocolos da camada de aplicação baseados em UDP)	Ataques CC direcionados a serviços baseados em UDP, como ataques UDP-CC e DNS-Flood contra serviços DNS autoritativos, serviços autoritativos DNS, serviços de jogos UDP e serviços de chamadas de voz UDP. A proteção CC de negócio UDP requer a compra adicional do Managed Security Service; caso contrário, não é suportada.	Suportado Suporta a limpeza de ataques DNS direcionados a serviços DNS não autoritativos. Para proteger serviços DNS autoritativos, use DNS Security.

Notas sobre a eficácia da proteção

A solução de proteção contra DDoS utiliza um motor de IA inteligente que aprende continuamente com os padrões normais de tráfego do negócio para identificar com precisão os ataques em evolução.
Quando um negócio sofre ataques DDoS ou CC imediatamente após a integração, os ataques podem não ser totalmente mitigados durante o período inicial de aprendizado de linha de base. As seguintes configurações de proteção estão disponíveis para melhorar a eficácia da proteção:
- Anti-DDoS Native:
  - Pré-configure várias estratégias de proteção, como proteção em linha, proteção de porta e proteção baseada em gatilhos, para melhorar a eficácia da proteção. Para mais informações, consulte Mitigation Settings.
  - Ajuste o limiar de limpeza com base no tráfego do seu negócio. Para mais informações, consulte Defina Traffic Scrubbing Thresholds.
- Anti-DDoS Proxy:
  - Oferece políticas refinadas com base em cenários de negócio. Para mais informações, consulte Scenario-specific Policies.
  - Aplique políticas de proteção personalizadas baseadas em frequência, adaptadas às características do seu negócio (por exemplo, Defina HTTP Flood Protection).