Ataques e abuso de tráfego podem causar picos inesperados de largura de banda que resultam em faturas acima do esperado. Não há dispensa nem reembolso para faturas altas geradas por ataques maliciosos ou abuso de transmissão de dados. Este tópico explica os riscos de faturamento durante um ataque e os controles que você pode configurar para se proteger.
Como funciona o faturamento durante ataques
O Alibaba Cloud CDN cobra com base nos recursos consumidos. Quando seu nome de domínio acelerado sofre ataque ou abuso, a cobrança de largura de banda e transferência de dados ocorre independentemente da causa.
Comportamentos importantes do faturamento:
O sistema gera as faturas de três a quatro horas após o término de cada ciclo de faturamento (por hora, por dia ou por mês), portanto as cobranças podem não aparecer imediatamente.
Se o saldo da sua conta chegar a zero, o serviço pode não parar imediatamente devido a atrasos no faturamento e ao intervalo do ciclo de cobrança.
O Alibaba Cloud oferece proteção contra suspensão de serviço. Quando ativada, o serviço continua em execução até o término do período de carência. O período de carência e o limite de saldo negativo dependem do nível da sua conta e do histórico de compras. O limite de saldo negativo é redefinido mensalmente.
Se você desativar a proteção contra suspensão de serviço, o serviço para imediatamente após o vencimento de um pagamento, limitando cobranças adicionais.
Alerta de fatura alta: após ativar este recurso, você recebe notificações por mensagem de texto quando uma fatura diária atinge um valor especificado.
Por padrão, o Alibaba Cloud CDN não oferece controle de acesso nem proteção de segurança. Ao detectar tráfego anormal, o Alibaba Cloud avalia se deve limitar o tráfego, adicionar o nome de domínio a um sandbox ou adotar outras medidas com base no tráfego normal do serviço e no volume total de tráfego anormal. Consulte Limites. Isso não garante a disponibilidade do seu domínio.
Proteger-se contra cobranças inesperadas
As seções a seguir descrevem os controles que você pode configurar para reduzir a exposição a cobranças inesperadas.
Ativar controle de acesso
Quando ocorrerem picos de tráfego, analise os logs em tempo real para identificar a causa e configure os recursos de controle de acesso apropriados. Consulte Entrega de logs em tempo real.
| Recurso | Descrição |
|---|---|
| Lista de bloqueios ou lista de permissões de Referer | Controla o acesso validando o cabeçalho Referer. Requisições que correspondem à lista de permissões são permitidas; as que correspondem à lista de bloqueios são bloqueadas. Configurar uma lista de bloqueios ou lista de permissões de Referer. |
| Assinatura de URL | Permite que os pontos de presença (POPs) trabalhem com seus servidores de origem para proteger recursos contra uso não autorizado. Configurar assinatura de URL. |
| Autenticação remota | Redireciona as requisições do usuário para um servidor de autenticação que verifica cada requisição antes de conceder acesso. Configurar autenticação remota. |
| Lista de bloqueios ou lista de permissões de endereço IP | Use a análise de logs em tempo real para identificar endereços IP maliciosos e bloqueie-os com uma lista de bloqueios ou restrinja o acesso com uma lista de permissões. Configurar uma lista de bloqueios ou lista de permissões de endereço IP. |
| Lista de bloqueios ou lista de permissões de User-Agent | Use a análise de logs em tempo real para identificar valores de User-Agent maliciosos e bloqueie as requisições correspondentes. Configurar uma lista de bloqueios ou lista de permissões de User-Agent. |
Gerenciar tráfego e configurar alertas
Use o CloudMonitor para configurar regras de alerta de largura de banda por serviço ou nome de domínio. Quando a largura de banda de um nome de domínio atinge um limiar especificado, você recebe notificação por mensagem de texto, e-mail ou mensagem do DingTalk. Consulte .
| Recurso | Descrição |
|---|---|
| Limite de largura de banda | Define um limite máximo de largura de banda para um nome de domínio. Quando o limite é atingido, o Alibaba Cloud CDN desativa a aceleração do nome de domínio e o resolve para um endereço inválido, evitando cobranças adicionais. Configurar limites de largura de banda. |
| Limitação de tráfego para requisições individuais | Limita a velocidade de download de todas as requisições enviadas aos POPs, restringindo a largura de banda de pico total dos nomes de domínio acelerados. Útil para eventos planejados de alto tráfego, como lançamentos de jogos. Configurar limitação de tráfego para requisições individuais. |
| Limitação de largura de banda | Para nomes de domínio com largura de banda de pico diário superior a 10 Gbit/s, envie um ticket para configurar a limitação de largura de banda. Consulte as notas de uso abaixo. |
| Monitoramento em tempo real | Use o CloudMonitor para monitorar a largura de banda de pico e receber alertas quando os limiares forem excedidos. Acesse a página do produto CloudMonitor. |
| Gerenciamento de gastos e alertas | Configure os controles de gastos no console do Alibaba Cloud: acesse Expenses > Expenses and Costs na barra de navegação superior. |
Notas de uso sobre limitação de largura de banda:
A limitação de largura de banda se aplica à largura de banda total de todos os serviços hospedados pelo nome de domínio. O limite de largura de banda deve ser maior ou igual a 10 Gbit/s.
Após atingir o limite de largura de banda, todas as requisições ficam mais lentas e podem ocorrer perdas de pacotes.
A limitação de largura de banda depende de dados de monitoramento em tempo real com atraso de aproximadamente 10 minutos, portanto a limitação começa cerca de 10 minutos após o limite ser atingido. A largura de banda pode exceder o limite durante esse intervalo.
Alertas de gastos e o que fazer ao receber um:
O Alibaba Cloud CDN emite faturas aproximadamente três horas após o término de um ciclo de faturamento. As cobranças são deduzidas do saldo da sua conta após o encerramento do ciclo, não no momento do consumo. Como o CDN é um serviço distribuído, os detalhes de consumo não são fornecidos nas faturas. Esse atraso também significa que os alertas de gastos refletem dados de faturamento recentes, não consumo em tempo real — considere essa defasagem ao definir os limiares de alerta.
| Tipo de alerta | Como funciona | O que fazer |
|---|---|---|
| Alerta de fatura alta | Envia uma mensagem de texto quando uma fatura diária atinge um valor especificado. | Verifique o tráfego do seu domínio no console do CDN. Consulte os logs em tempo real para identificar a origem do tráfego. Ative ou reforce os recursos de controle de acesso (lista de bloqueios/lista de permissões de Referer, lista de bloqueios/lista de permissões de endereço IP ou assinatura de URL) para bloquear a origem. Considere definir um limite de largura de banda para restringir o consumo adicional. |
| Alerta de largura de banda | Envia uma notificação quando a largura de banda excede um limiar configurado no CloudMonitor. | Verifique o tráfego do seu domínio no console do CDN. Consulte os logs em tempo real para identificar a origem do tráfego. Ative ou reforce os recursos de controle de acesso para bloquear a origem. Considere definir um limite de largura de banda. |
| Alerta de saldo baixo | Envia uma mensagem de texto quando o saldo da sua conta cai abaixo de um limiar especificado. | Recarregue o saldo da sua conta ou reduza os gastos desativando nomes de domínio com pouco tráfego. |
| Proteção contra suspensão de serviço | Quando desativada, o serviço para imediatamente após o vencimento de um pagamento, limitando as cobranças em atraso. | Avalie se deve manter este recurso ativado com base na sua tolerância à interrupção do serviço versus cobranças em atraso. |
Ativar segurança avançada com ESA
Para proteção além do controle de acesso e do gerenciamento de tráfego, use o Edge Security Acceleration (ESA). O ESA oferece proteção nativa contra DDoS, Web Application Firewall (WAF), gerenciamento de bots e análise de segurança.
| Tipo de ataque | Contexto | Capacidade do ESA |
|---|---|---|
| Ataque DDoS | Ataques DDoS HTTP/HTTPS, frequentemente chamados de ataques CC (Challenge Collapsar), visam camadas de aplicações web imitando requisições legítimas de usuários a partir de mecanismos de busca e rastreadores web. Ataques de alta simultaneidade em páginas que consomem muitos recursos podem causar negação de serviço e degradar o desempenho, incluindo tempo de resposta web, serviços de banco de dados e I/O de disco. | O ESA oferece proteção contra DDoS por padrão para defender contra ataques DDoS volumétricos e ataques de flood HTTP. As capacidades de proteção variam por plano e podem ser ajustadas conforme suas necessidades. O ESA busca minimizar qualquer tempo de inatividade para garantir que seu site retome as operações o mais rápido possível. |
| Roubo de tráfego | O roubo de tráfego envolve a manipulação e o desvio de tráfego web. Atacantes podem usar alta frequência de requisições a partir de um único endereço IP, redirecionamentos inválidos ou requisições lentas em larga escala. Os sistemas de segurança identificam anomalias em códigos de resposta, padrões de requisição de URL, cabeçalhos Referer e cabeçalhos User-Agent. | O ESA é integrado ao WAF para proteger servidores web e bloquear intrusões. O gerenciamento de bots do ESA inclui o Smart Mode em todos os planos e o Professional Mode no plano Enterprise. A análise de segurança fornece análise visual do tráfego de requisições HTTP(S) do WAF e do gerenciamento de bots. |
Próximos passos
FAQ — Perguntas frequentes sobre problemas e soluções de proteção de segurança