How to select a protection product after a DDoS attack - Anti-DDoS: Central de Documentação do Alibaba Cloud

A matriz de product Anti-DDoS da Alibaba Cloud protege seu negócio contra diversos tipos de ataques DDoS, garantindo a continuidade e a estabilidade dos service. Como os ataques e os cenários de negócios variam, é fundamental escolher a solução de proteção adequada. Este tópico atua como um guia de decisão para ajudar você a entender rapidamente os conceitos principais e seguir um caminho de seleção baseado em cenários, encontrando assim o product Anti-DDoS ideal para o seu negócio.

Conceitos principais

Entender os conceitos principais a seguir é a base para tomar as decisões de seleção corretas.

Termos principais

Termo

Descrição

Ataque DDoS

Abreviação de ataque de negação de service distribuído (DDoS), um tipo comum de ataque à segurança de rede. Esse ataque consome principalmente os recursos de uma rede ou de um dispositivo de rede por meio de tráfego malicioso, causando o funcionamento anormal de um site ou a indisponibilidade de um service online. Para mais informações, consulte What is a DDoS attack?.

blackhole

Mecanismo de bloqueio de tráfego. Quando o volume de tráfego de ataque direcionado a um endereço IP excede a capacidade de mitigação do Anti-DDoS Basic para esse endereço, a operadora descarta todo o tráfego destinado ao IP, incluindo o tráfego de acesso legítimo. Isso protege a estabilidade geral da rede da Alibaba Cloud. Como resultado, os service associados ao endereço IP sofrem interrupção total por um determinado período. Adquirir um nível superior de proteção, como o Anti-DDoS Proxy, é uma forma eficaz de desativar a filtragem blackhole.

traffic scrubbing

Conjunto de algoritmos de detecção e identificação que separa o tráfego de ataque malicioso do tráfego normal do service, descartando o tráfego malicioso. Apenas o tráfego limpo do service é encaminhado de volta ao servidor de origem, garantindo a disponibilidade do service.

Definições dos product

Anti-DDoS Basic: service de proteção básico e gratuito oferecido para alguns service da Alibaba Cloud. Defende contra ataques de pequena escala, mas possui capacidade de mitigação limitada (500 Mbps a 5 Gbps). Quando o tráfego de ataque excede o limite, o endereço IP atacado entra em estado de blackhole, interrompendo os seus service.
Anti-DDoS Native: product de segurança que aprimora diretamente a capacidade de defesa contra DDoS dos service da Alibaba Cloud. A implantação é simples e não exige alterações na sua arquitetura de rede nem nos endereços IP do service. Foca principalmente na defesa contra ataques DDoS volumétricos nas camadas 3 e 4.
Anti-DDoS Proxy: service de proteção baseado em proxy. Utiliza a resolução de DNS para redirecionar o tráfego do service para centros de scrubbing (limpeza) de DDoS ao redor do mundo, ocultando de forma eficaz os endereços IP dos seus servidores de origem. Oferece defesa abrangente contra ataques DDoS nas camadas de rede, transporte e aplicação, incluindo ataques CC HTTP/HTTPS.

Detalhes das soluções de proteção

Nota

Caso precise de uma solução de segurança personalizada, como uma especificação de grande porte ou proteção UDP na camada de aplicação, entre em contato com o seu gerente de contas para uma consultoria.

Comparação de product

Dimensão	Anti-DDoS Basic	Anti-DDoS Native		Anti-DDoS Proxy
Dimensão	Anti-DDoS Basic	Service regulares da Alibaba Cloud	Anti-DDoS Advanced EIP	Anti-DDoS Proxy
Cenários	Sensível a custos. Service não críticos que toleram breves interrupções. Ataques de pequena escala.	Grande quantidade de portas e endereços IP. Alta largura de banda limpa (por exemplo, largura de banda limpa superior a 1 Gbps e consultas limpas por segundo (QPS) superior a 5.000 para service HTTP e HTTPS), e os endereços IP públicos não podem ser alterados. Latência ultrabaixa necessária para garantir a continuidade do service durante ataques volumétricos. Ataques DDoS ocasionais.		Ataques frequentes e campanhas intensas de ataque e defesa. Necessidade de defesa contra ataques de inundação sofisticados na camada de aplicação. Necessidade de alterar os endereços IP públicos dos seus service.
Faturamento	Gratuito.	Assinatura (pagamento antecipado): disponível no Anti-DDoS Native (SMB) e Anti-DDoS Native (Enterprise). Para mais informações, consulte Anti-DDoS Native 2.0 (Subscription). Nota Apenas o Anti-DDoS Native (Enterprise) oferece suporte ao Anti-DDoS Advanced EIP. Pagamento conforme o uso (pós-pago): para mais informações, consulte [Existing customers] Anti-DDoS Native 2.0 (Pay-as-you-go).		Taxa da instância (pagamento antecipado): cobrada mensal ou anualmente com base nas especificações selecionadas, como largura de banda de proteção básica, largura de banda limpa e QPS. Taxa de proteção elástica (pós-pago): cobrada diariamente com base no pico real de tráfego de ataque, aplicável apenas quando o tráfego de ataque DDoS excede a largura de banda de proteção básica. Taxa de largura de banda limpa/QPS expansível (pós-pago): cobrada pelo percentil 95 diário ou mensal, aplicável apenas quando o tráfego normal do service ou o QPS excede a especificação básica. Plano de recursos de mitigação avançada: para uma instância específica, você também pode adquirir um plano de recursos de mitigação avançada sob demanda. Para mais informações, consulte Billing.
Mecanismo principal	Integrado ao cloud service. O descarte de tráfego (blackhole) é acionado automaticamente quando o tráfego excede o limite, garantindo a estabilidade da rede do provedor de cloud service.	Associado diretamente aos recursos de cloud sem alterar os endereços IP do service, execute a limpeza de tráfego quando um ataque excede o limite.		Redireciona o tráfego para um centro de limpeza dedicado por meio da modificação da resolução de DNS. Todo o tráfego passa pela limpeza antes de ser encaminhado, garantindo a disponibilidade do servidor de origem.
Método de acesso	Ativado automaticamente. Nenhuma operação manual é necessária.	Associe os objetos protegidos no console.		Modifique a resolução de DNS para redirecionar o tráfego para o endereço IP da instância do Anti-DDoS Proxy.
Objetos protegidos	Alguns service da Alibaba Cloud, incluindo instâncias do Elastic Compute Service (ECS), instâncias do Server Load Balancer (SLB), endereços IP elásticos (EIPs), EIPs associados a um NAT gateway, gateways IPv6, Simple Application Servers, instâncias do Web Application Firewall (WAF), instâncias do Global Accelerator (GA) e Anycast EIPs..	Alguns service da Alibaba Cloud, incluindo instâncias do Elastic Compute Service (ECS), instâncias do Server Load Balancer (SLB), endereços IP elásticos (EIPs), EIPs associados a um NAT gateway, gateways IPv6, Simple Application Servers, instâncias do Web Application Firewall (WAF), instâncias do Global Accelerator (GA) e Anycast EIPs..	Há suporte apenas para Anti-DDoS Advanced EIPs.	Qualquer endereço IP público.
Capacidades de mitigação	Baixa. Baseada na capacidade de defesa dentro da Alibaba Cloud, de 500 Mbps a 5 Gbps. Para mais informações, consulte View the thresholds that trigger blackhole filtering in Anti-DDoS Basic.	Moderada. Baseada na capacidade de defesa dentro da Alibaba Cloud, de até centenas de Gbps. Para mais informações, consulte What is Anti-DDoS Native?.	Alta. Baseada na capacidade dos centros globais de limpeza de DDoS da Alibaba Cloud, de mais de 1 Tbps.	Alta. Baseada na capacidade dos centros globais de limpeza de DDoS da Alibaba Cloud, de mais de 1 Tbps.

Comparação dos tipos de ataques DDoS defendidos

Tipo de ataque	Descrição	Anti-DDoS Native		Anti-DDoS Proxy
Tipo de ataque	Descrição	Service regulares da Alibaba Cloud	Anti-DDoS Advanced EIP	Anti-DDoS Proxy
Ataques DDoS na camada de rede	Inclui principalmente Frag Flood, Smurf, Stream Flood, Land Flood, pacotes IP malformados, pacotes TCP malformados e pacotes UDP malformados.	Suportado	Suportado	Suportado
Ataques DDoS na camada de transporte	Inclui principalmente SYN Flood, ACK Flood, UDP Flood, ICMP Flood, RST Flood, reflexão NTP, reflexão SSDP e reflexão DNS.	Suportado	Suportado	Suportado
Ataques DDoS na camada de aplicação (HTTP/HTTPS)	Também conhecidos como ataques de inundação na camada de aplicação web. Inclui principalmente ataques CC direcionados a service HTTP, como ataques CC HTTP/HTTPS e ataques de taxa lenta HTTP (LOIC/HOIC/Slowloris/Pyloris/XOIC). Exemplos desses service são sites, operações de API e service WebSocket.	Não suportado	Não suportado	Suportado
Ataques DDoS na camada de aplicação (protocolos da camada de aplicação TCP não HTTP/HTTPS)	Também conhecidos como ataques de inundação na camada de aplicação não web. Inclui principalmente ataques CC na camada de aplicação TCP direcionados a service não HTTP, como ataques CC TCP, ataques de Conexão Vazia TCP e ataques de exaustão de recursos de conexão TCP. Exemplos desses service são protocolos privados, MySQL, MQTT e service RTMP.	Não suportado	Suportado Nota Em preview público. Apenas a região China (Hangzhou) é suportada.	Suportado
Ataques DDoS na camada de aplicação (protocolos da camada de aplicação baseados em UDP)	Ataques CC direcionados a service UDP, como ataques UDP-CC e ataques DNS-Flood contra service NS. Exemplos desses service são service NS, service de jogos UDP e service de chamadas de voz UDP. Importante A proteção CC para service UDP requer a compra adicional do Managed Security Service. Caso contrário, essa proteção não é suportada.	Suportado Nota Oferece suporte à limpeza de tráfego para ataques DNS contra service não NS. Para proteger service NS, use DNS protection.

Observações sobre a eficácia da proteção

Os padrões de ataques DDoS estão em constante evolução. O motor de IA inteligente integrado à solução de proteção Anti-DDoS aprende e modela o tráfego normal do service para identificar ataques com precisão.
Além disso, se os seus service sofrerem um ataque DDoS ou CC logo após a integração, pode ocorrer a passagem instantânea do ataque. Estão disponíveis as seguintes configurações de mitigação:
- Anti-DDoS Native:
  - Personalize antecipadamente diversas políticas de mitigação, como proteção em linha, proteção de porta e proteção baseada em gatilhos, para melhorar a eficácia da proteção. Para obter instruções, consulte Mitigation Settings.
  - Ajuste o limite de limpeza de tráfego com base no tráfego do seu service. Para obter instruções, consulte Configure traffic scrubbing thresholds.
- Anti-DDoS Proxy:
  - Oferece políticas detalhadas com base em cenários de negócios (Scenario-specific policies).
  - Combine políticas personalizadas de mitigação baseadas em frequência de acordo com as características do seu service (por exemplo, Configure HTTP flood protection).