Ataques maliciosos ou abuso de tráfego contra o seu nome de domínio podem causar picos repentinos de largura de banda, resultando em faturas inesperadamente altas. Como as faturas geradas não podem ser isentas ou reembolsadas, este documento descreve as melhores práticas para mitigar esses riscos.
Mitigar perdas imediatas
Se o seu nome de domínio sofrer ataques maliciosos ou abuso de tráfego que resultem em faturas altas, tome medidas imediatas para mitigar as perdas. Primeiro, configure um limite de largura de banda e ative a limitação de tráfego para requisições individuais. Após implementar esses controles, analise seus logs para definir configurações de segurança mais direcionadas.
Uso de largura de banda
Velocidade de downstream
Analisar a causa
Verificar detalhes de faturamento para tráfego anormal
Você pode visualizar os detalhes de faturamento dos serviços de cloud na guia Billing Details. Selecione uma dimensão estatística e um período estatístico para visualizar relatórios com base em diferentes dimensões. Para mais informações, consulte {{XREF_3}}.
Defina Statistical Period como By Detail e Product como Alibaba Cloud CDN. Revise a fatura cuidadosamente para identificar aumentos incomuns de tráfego e largura de banda, a fim de determinar os períodos de tráfego anormal. Para mais informações, consulte {{XREF_4}}.
Se você comprou um plano de recursos do CDN, verifique também o status do plano: na página Resource Plans do console do CDN, revise a cota restante e o tempo de expiração para determinar se o plano expirou ou se foi totalmente utilizado. Após a expiração ou o esgotamento de um plano de recursos, o tráfego subsequente é cobrado no modelo de pagamento conforme o uso, o que também pode causar um aumento notável na sua fatura. Para mais informações, consulte {{XREF_5}}. Observe que um plano de recursos recém-comprado se aplica apenas ao tráfego gerado após a compra e não pode compensar cobranças que já foram faturadas. Para mais informações, consulte {{XREF_6}}.
Examinar arquivos de log para tráfego anormal
Consulta básica: logs offline
Baixe os logs offline para visualizar os logs de acesso do período relevante. Analise os detalhes das requisições HTTP para identificar endereços IP suspeitos, User-Agents, entre outros. Os logs offline contêm campos de dados limitados. Se desejar visualizar mais dados, use o recurso de logs em tempo real.
Os logs do CDN registram apenas informações básicas de acesso, incluindo o horário de acesso, o endereço IP do cliente, a URL requisitada, o User-Agent, o Referer, o tamanho da resposta, o código de status HTTP e o status do cache. Esses campos não podem determinar diretamente se uma requisição se origina de uma ferramenta de scraping ou de um navegador comum. Embora o campo User-Agent possa indicar o tipo de cliente, ele pode ser falsificado e, portanto, não é uma base confiável para julgamento. Você pode analisar endereços IP de alta frequência, User-Agents anormais e padrões de comportamento de acesso para identificar indiretamente o tráfego suspeito, mas não é possível confirmar o método ou a intenção de acesso específica apenas com base nos logs.
Use ferramentas de linha de comando para analisar rapidamente os arquivos de log offline e extrair informações como os 10 principais endereços IP ou User-Agents por volume de requisições. Para obter detalhes, consulte {{XREF_7}}.
Cota de tráfego esgotada antecipadamente sem média diária anormal
Se mais da metade da sua cota de tráfego mensal for consumida em menos de um mês, mas a média diária de tráfego não apresentar picos anormais notáveis, use as etapas a seguir para investigar:
No console do CDN, escolha Statistics & Analytics > Operations Report > Hot URL. Verifique a participação de tráfego de cada URL e identifique se arquivos grandes, como vídeos MP4, estão consumindo uma quantidade desproporcional de tráfego.
Escolha Operations Report > Top Client IP. Verifique os intervalos de IP com o maior volume de requisições e identifique se crawlers de mecanismos de busca, como o Baiduspider, estão gerando grandes volumes de requisições.
Escolha Log Management > Offline Logs. Baixe os logs de acesso brutos por nome de domínio e data e, em seguida, analise a distribuição de User-Agent para quantificar a parcela do tráfego de crawlers.
Se um arquivo grande estiver consumindo tráfego excessivo, substitua o vídeo por uma imagem ou reduza a taxa de bits do vídeo para diminuir o consumo de tráfego na origem.
-
Se o tráfego de um intervalo de IP específico for anormal, configure uma lista de bloqueios de IP em Edge Security para bloqueá-lo.
NotaO bloqueio do intervalo de IP pode afetar usuários legítimos.
Se o consumo de tráfego refletir a demanda normal do negócio, compre um plano de recursos de tráfego na página Resource Plan Management para aumentar sua cota.
Em Usage Query, monitore a taxa de consumo da cota de tráfego e configure alertas de tráfego para receber avisos antecipados.
Consulta avançada: relatórios operacionais e logs em tempo real
É necessário personalizar os operation reports para ativar a análise estatística. Se você já configurou a entrega de logs em tempo real ou se inscreveu nos relatórios operacionais, poderá visualizar os dados históricos de log. Os relatórios operacionais são um recurso integrado e gratuito do Alibaba Cloud CDN.
Para gerar logs em tempo real, é preciso primeiro ativar o Log Service (SLS) e garantir que os logs sejam entregues com sucesso. Este é um recurso pago. Para obter detalhes sobre preços, consulte {{XREF_8}}.
Você deve configurar tanto os logs em tempo real quanto os relatórios operacionais com antecedência. Se não configurou esses recursos antes da ocorrência das altas cobranças, só poderá usar os logs offline para análise histórica.
Resolver o problema
Após obter os dados de log ou de relatório, analise suas características para identificar o tipo de ataque. Geralmente, é possível extrair recursos analisando métricas principais, como Top IP, Top User-Agent e Top Referer.
Bloquear endereços IP suspeitos
Para restringir o acesso de endereços IP suspeitos, configure uma lista de bloqueios de IP. Analise seus logs para identificar endereços IP suspeitos e adicione-os a esta lista. Para obter instruções detalhadas, consulte {{XREF_11}}.
O bloqueio de IP é eficaz quando os invasores usam um conjunto fixo de endereços IP. No entanto, se os invasores alternarem continuamente os endereços IP para contornar a lista de bloqueios, o bloqueio estático de IP por si só não conseguirá impedir o abuso contínuo de tráfego. Nesses casos, consulte a seção Fazer upgrade para o ESA e ativar o WAF e a proteção contra bots abaixo para obter uma solução de proteção mais abrangente.
Filtrar User-Agents suspeitos
Os invasores enviam grandes volumes de requisições com um cabeçalho User-Agent falsificado para contornar as verificações de segurança. Um User-Agent falsificado pode ser um valor vazio, uma string aleatória ou uma string forjada que imita um navegador comum. Configure uma lista de permissões ou uma lista de bloqueios de User-Agent para rejeitar requisições com User-Agents anormais. Por exemplo, para rejeitar requisições com um User-Agent vazio ou uma string aleatória não compatível, use os parâmetros this-is-empty-ua e RandomString, respectivamente. Para obter instruções detalhadas, consulte {{XREF_12}}.
Bloquear referers suspeitos
Os invasores falsificam o cabeçalho Referer nas requisições para se passar por fontes legítimas e enviar requisições maliciosas. Configure uma lista de bloqueios ou uma lista de permissões de Referer para permitir o acesso de referers legítimos, impedir que sites de terceiros não autorizados façam hotlink dos seus recursos e rejeitar requisições com valores de Referer maliciosos. No campo de entrada Rules, insira os valores anormais de Referer encontrados nos logs. Recomendamos selecionar a opção Ignore Scheme. Para obter instruções detalhadas, consulte {{XREF_13}}.
Fazer upgrade para o ESA e ativar o WAF e a proteção contra bots
Se os invasores alternarem continuamente os endereços IP para contornar a lista de bloqueios de IP, o bloqueio estático de IP por si só não conseguirá impedir eficazmente o abuso de tráfego. Nesses casos, recomendamos migrar o seu nome de domínio para o {{XREF_14}}. O ESA fornece um rico conjunto de recursos de proteção, incluindo proteção WAF, proteção contra DDoS e prevenção de abuso de tráfego, que não apenas protegem seus dados, mas também melhoram a velocidade de acesso e a experiência do usuário. Você pode migrar rapidamente o seu nome de domínio usando o guia {{XREF_15}}. Em seguida, siga o guia abaixo para ativar os recursos de segurança do ESA.
WAF
O ESA {{XREF_16}} fornece uma ampla variedade de recursos de correspondência de regras e bloqueio, incluindo regras de acesso de IP, regras de lista de permissões e regras personalizadas, para prevenir ataques e proteger os dados essenciais do seu negócio.
Configurar uma regra de acesso de IP
No console do ESA, acesse Websites e clique no site de destino na coluna Website.
Na página de detalhes do site, escolha .
-
Para definir uma regra, selecione um tipo de correspondência, como IP/CIDR Block, {{XREF_17}} ou Region, insira um valor, selecione uma Action e, em seguida, clique em Create Rule. Os tipos de ação suportados estão listados em {{XREF_18}}.
-
Opcional: As regras se aplicam à Camada 7 (HTTP) por padrão. As regras de acesso de IP TCP/UDP (Camada 4) exigem um plano Enterprise. Para cobrir também as requisições da Camada 4 (TCP/UDP), acesse TCP/UDP > Settings. Na página Settings, clique em Create Application. No painel Create Application, ative IP Access Rules.
Criar uma regra de lista de permissões
No console do ESA, acesse Websites. Na coluna Actions do site de destino, clique em
> WAF.Na página de detalhes do site, acesse .
-
Na guia Whitelist Rules, clique em Create Rule.
Insira um Rule Name.
Na seção If requests match..., especifique as características da requisição. Para mais informações, consulte {{XREF_19}}.
-
Na seção Then skip..., especifique as regras de proteção a serem ignoradas.
All Rules: Ignora todas as regras do WAF e de gerenciamento de bots.
Specific Rule Category/ID: Selecione as regras a serem ignoradas. Por exemplo, para regras gerenciadas, você pode inserir um ID de regra ou especificar um tipo de regra, como gerenciamento de bots ou limitação de taxa.
Clique em OK.
Configurar uma regra personalizada
No console do ESA, selecione Websites e, na coluna Websites, clique no site de destino.
No painel de navegação à esquerda, escolha .
-
Clique na guia Security e, na guia WAF, clique em Custom Rules.
Insira um Custom Rules.
Na área Create Rule, configure as condições de correspondência. Para mais informações, consulte {{XREF_20}}.
Na área Rule Name, especifique uma ação para as requisições correspondentes. Para mais informações, consulte {{XREF_21}}.
Clique em If requests match....
Proteção contra bots
O {{XREF_22}} do ESA suporta configuração tanto no Simple Mode quanto no Advanced Mode. O Simple Mode permite configurar rapidamente o gerenciamento de bots para o seu site atual, enquanto o Advanced Mode fornece regras de bot mais precisas para ajustes direcionados ao seu site ou aplicativo.
Usar o Then execute...
O Simple Mode é um recurso de gerenciamento de bots e crawlers para usuários de nível básico. Ao contrário do Advanced Mode, que exige conhecimento profissional para configurar regras complexas, o Simple Mode categoriza o tráfego em três tipos por padrão e permite selecionar uma ação para cada categoria. Está disponível para todos os planos, embora alguns recursos tenham restrições de plano.
Configurar políticas globais
No console do ESA, selecione Websites. Na coluna OK, clique no site de destino.
No painel de navegação à esquerda, escolha .
-
Na página Bots, selecione Smart Mode, configure os itens conforme descrito abaixo e, em seguida, clique em Configure.
Definite Bots: Esta categoria inclui muitos crawlers maliciosos. Defina a ação como Block ou Slider CAPTCHA.
Likely Bots: Risco menor que Definite Bots, mas pode incluir crawlers maliciosos e outro tráfego. Defina a ação como Monitor ou como Definite Bots durante períodos de alto risco.
Verified Bots: Esta categoria geralmente inclui crawlers de mecanismos de busca que suportam SEO. Defina a ação como Slider CAPTCHA. Para bloquear todos os crawlers de mecanismos de busca, defina a ação como Block.
Proteger recursos estáticos contra bots
Em um plano Enterprise, {{XREF_23}}.
A ativação da proteção de recursos estáticos pode bloquear bots legítimos que buscam periodicamente recursos estáticos, como clientes de e-mail. Ative com cautela.
Ativar detecção de JavaScript
Em um plano Enterprise, use o {{XREF_24}} leve e invisível para coletar fingerprints do navegador e melhorar a precisão da detecção de bots.
Usar o Allow
Configure conjuntos de regras de proteção para requisições específicas com períodos de vigência separados. O Advanced Mode também protege aplicativos móveis e permite aplicar conjuntos de regras a outros sites na sua conta.
No console do ESA, selecione Websites. Na coluna Website, clique no site de destino.
No painel de navegação à esquerda, escolha .
Na página Security, selecione Bots e clique em Bots.
Insira um Professional Mode. Defina Create Ruleset como Rule Set Name e defina Service Type como Browsers.
Na seção SDK Integration, configure uma expressão de regra para corresponder às requisições de destino. Por exemplo, para proteger contra bots da China continental:
(ip.geoip.country in {"CN"}). Os campos suportados estão listados em {{XREF_25}}.
-
Selecione as ações de proteção a serem adicionadas.
-
Para bots de mecanismos de busca:
{{XREF_26}}: Permite bots específicos de mecanismos de busca nos quais você confia.
Interceptação de Crawlers Falsos: Bloqueia todos os bots de mecanismos de busca. Use com {{XREF_27}} para permitir apenas bots específicos.
-
Para bibliotecas de bots conhecidos:
{{XREF_28}}: Uma biblioteca de IP da Alibaba Cloud de fontes de bots maliciosos conhecidos. Ative o Automatic Integration (Recommended) para combatê-los.
{{XREF_29}}: Se seus clientes não se conectam a partir de clouds públicas ou IDCs, use a If requests match... para bloquear requisições dessas fontes.
-
Para requisições que precisam ser identificadas:
{{XREF_30}}: Identifica bots que não são navegadores comparando seus recursos de acesso com os de navegadores de usuários reais.
{{XREF_31}}: O ESA analisa o tráfego do cliente, treina automaticamente um modelo de machine learning e gera regras de proteção e listas de bloqueios. Configure contramedidas com base nessas regras e listas de bloqueios.
{{XREF_32}}: Se você deseja permitir algumas requisições de bots, mas impedir que acessem seu site com muita frequência, é possível limitar a taxa de requisições de um endereço IP ou sessão específica. Uma ação de proteção é aplicada às requisições que excedem o limite especificado.
-
Na área Slider CAPTCHA, clique em Data Center Blacklist ao lado da regra relevante, defina o período de vigência e, em seguida, clique em Effective Time.
Após concluir a configuração, clique em Edit.
Security Analytics
O {{XREF_33}} exibe dados sobre requisições bloqueadas e monitoradas, bem como o volume total de requisições para o WAF e o gerenciamento de bots. Use esses dados para ajustar dinamicamente suas regras de proteção.
Dimensões de análise
OK: Filtra por OK, HTTP Version e Host. Apenas os dados correspondentes são exibidos.
Horário da consulta: Por padrão, os dados das Last 24 Hours são exibidos. Você pode definir um intervalo personalizado para consultar dados dos últimos 30 dias.
Visualizar relatórios de security analytics
Durante picos de tráfego ou ataques suspeitos, use o security analytics para analisar o tráfego HTTP/HTTPS em tempo real. Compare o tráfego com a sua linha de base para requisições legítimas examinando a estrutura do cabeçalho, os padrões de payload e a frequência de acesso. Para tráfego anômalo, como injeção de SQL ou ataques CC, o mecanismo WAF DPI carrega dinamicamente conjuntos de regras predefinidos ou personalizados para bloquear requisições maliciosas e rastrear as origens dos ataques.
Os dados no Client IP têm um atraso de cerca de 5 minutos.
Nível da conta
Visualize os dados de proteção de todos os sites da sua conta em um painel centralizado.
Faça login no console do ESA. No painel de navegação à esquerda, escolha .
-
Na página Security Analytics, você pode visualizar as informações de proteção e usar o Filter para selecionar os dados necessários. Clique no ícone
para imprimir o relatório da página ou clique no ícone 
para baixar os dados como um arquivo CSV para análise local.
Nível do site
Você também pode visualizar os dados de proteção de sites individuais.
No console do ESA, acesse Websites. Na coluna Security Analytics, clique no site de destino.
No painel de navegação à esquerda, escolha .
-
Na página Website, você pode visualizar as informações de proteção e usar o Security para selecionar os dados necessários. Clique no ícone
para imprimir o relatório da página ou clique no ícone para baixar os dados como um arquivo CSV para análise local.NotaO {{XREF_34}} aborda a resposta a anomalias. Você pode criar regras clicando em Security Analytics ou Security Analytics.
Limitação de taxa CC
Consulte {{XREF_35}} para configurar regras e políticas.
Um aumento repentino no volume de acesso à API aciona um alerta de monitoramento. Ao verificar os logs em tempo real, você pode descobrir que, durante um ataque, um único IP acessa a API mais de 3.000 vezes em 60 segundos. Em contraste, durante um período sem ataque, um único IP a acessa no máximo 100 vezes em 60 segundos. Configure a política de proteção CC com um limite que seja de 2 a 3 vezes a frequência de acesso durante um período normal.
Verifique os logs em tempo real para localizar o recurso atacado e compare a frequência de acesso durante os períodos de ataque e sem ataque. Se houver uma diferença significativa, você poderá configurar esta política de proteção.
Em operações normais de negócio, se os seus servidores chamarem recursos por meio de interfaces públicas e houver acesso concentrado de IPs internos, adicione uma condição de correspondência para excluir esses IPs da contagem da regra.
É necessário ajustar o caminho de proteção e o limite de acionamento com base nas necessidades do seu negócio e na frequência de acesso do invasor observada nos logs em tempo real. A seguir, é apresentado um exemplo de configuração.
Parâmetro | Valor de exemplo | Descrição |
Filter | Um nome personalizado para a sua regra. O nome deve atender aos seguintes requisitos:
| Indica que uma requisição corresponde à regra se o caminho requisitado contiver |
Create Custom WAF Rule from Filters |
| |
Rate Limiting | Ative a opção Not Belong To. | Indica que, se um IP de cliente corresponder às condições mais de 300 vezes em 60 segundos, o IP será adicionado à lista de bloqueios. |
Matched Content | Selecione IP. | |
Rate Limiting | Insira | |
Statistical Object | Insira | |
Status Code | Desativado por padrão. | Indica que o endereço IP que aciona a regra é adicionado à lista de bloqueios. Por 3600 segundos, todas as requisições desse endereço IP são bloqueadas. |
Interval (Seconds) | Selecione Threshold (times). | |
Blocklist Timeout (seconds) | Insira | |
Apply To | Selecione Apply to entire domain. |
Bloqueio de UA malicioso
Consulte {{XREF_36}} para configurar regras e políticas.
Para cenários de aplicativos em que um User-Agent vazio é normal, esta política não é necessária.
Se o valor do User-Agent for o nome do aplicativo, você precisará adicionar o nome do aplicativo usado pelo tráfego normal ao conteúdo de correspondência.
Parâmetro | Valor de exemplo | Descrição |
Rule Name | Um nome personalizado para a sua regra. O nome deve atender aos seguintes requisitos:
| Indica que, se o Action da requisição não contiver |
Match Condition |
| |
Rate Limiting | Desativado por padrão. | |
Does not equal to any value | Selecione Block. |
Limitação de taxa de UA malicioso
Consulte {{XREF_37}} para configurar regras e políticas.
Um nome de domínio ou interface é inundado com requisições, o que aumenta as cobranças de tráfego. Os logs em tempo real mostram que os endereços IP dos clientes estão dispersos, mas os valores de User-Agent são altamente concentrados e não correspondem ao tráfego normal. Ao comparar a janela de ataque com um intervalo de tempo normal, você pode ver que o volume de requisições para o mesmo User-Agent é muito menor durante os períodos normais.
É necessário ajustar o caminho de proteção e o limite de acionamento com base nas necessidades do seu negócio, nas características do invasor e na frequência observada nos logs em tempo real. A seguir, é apresentado um exemplo de configuração.
Parâmetro | Valor de exemplo | Descrição |
Rule Name | Um nome personalizado para a sua regra. O nome deve atender aos seguintes requisitos:
| Indica que uma requisição corresponde à regra se o caminho requisitado contiver |
Action |
| |
Logical Operator | Ative a opção Include. | Isso significa que, se uma requisição de cliente contiver um |
Matched Content | Selecione Rate Limiting e insira | |
Rate Limiting | Insira | |
Statistical Object | Insira | |
Custom Header | Desativado por padrão. | Indica que o User-Agent que aciona a regra é adicionado a uma lista de bloqueios. Por 1800 segundos, todas as requisições com este User-Agent são bloqueadas. |
Interval (Seconds) | Selecione Threshold (times). | |
Status Code | Insira | |
Apply To | Selecione Apply to entire domain. |
Bloquear IPs maliciosos
Consulte {{XREF_38}} para configurar regras e políticas.
Bloqueio de bots
Consulte {{XREF_39}} para configurar regras e políticas e ative os itens de proteção relevantes conforme necessário.
Próximas etapas
Monitoramento em tempo real
Configure o monitoramento em tempo real para o pico de largura de banda de nomes de domínio especificados no CDN. Se o pico de largura de banda atingir o limite configurado, o sistema enviará um alerta aos administradores por SMS, e-mail ou DingTalk. Isso ajuda a detectar prontamente riscos potenciais. Para mais informações, consulte {{XREF_40}}.
Alertas de custos
Na barra de navegação superior do Blocklist Timeout (seconds), acesse Action > Block. Configure os seguintes recursos para controlar melhor os gastos da sua conta e evitar faturas altas.
Alerta de saldo baixo: Você pode definir um alerta para ser enviado por SMS quando o saldo da sua conta cair abaixo de um valor especificado.
Alerta de fatura alta: Você pode ativar um alerta que envia uma notificação por SMS se a fatura diária de um produto exceder um limite especificado.
Para garantir a integridade das estatísticas e a precisão das faturas, o CDNDCDN emite a fatura aproximadamente 3 horas após o término de um ciclo de faturamento. O momento em que as taxas relevantes são deduzidas do saldo da sua conta pode ser posterior ao momento em que os recursos são consumidos dentro do ciclo de faturamento. O CDNDCDN é um serviço distribuído. Portanto, a Alibaba Cloud não fornece os detalhes de consumo de recursos nas faturas. Outros provedores de CDN usam uma abordagem semelhante.
Controle de frequência de acesso
O CDN não suporta controle de frequência de acesso. Se você precisar de limitação de taxa, desafios de JavaScript ou outros recursos de bloqueio de tráfego de bots, recomendamos que faça o upgrade para o {{XREF_42}}.