Cada endereço IP público inclui limpeza DDoS gratuita de até 5 Gbps. Para proteção mais robusta, use Anti-DDoS Origin ou Anti-DDoS Pro and Anti-DDoS Premium.
Riscos de segurança
Em um ataque de negação de service distribuída (DDoS), invasores usam vários hosts comprometidos para inundar um alvo, como seu servidor web ou API de aplicação, com requisições aparentemente legítimas. Essas requisições esgotam recursos do sistema, como largura de banda, CPU, memória ou conexões, e causam lentidão nas respostas ou falhas. Usuários legítimos perdem o acesso, o que gera prejuízos financeiros e danos à marca. Serviços como e-commerce, jogos online e pagamentos financeiros são alvos comuns, especialmente durante promoções ou grandes eventos.
A Alibaba Cloud oferece proteção Anti-DDoS gratuita de até 5 Gbps para cada endereço IP público. Essa proteção básica tem as seguintes limitações:
Limiar de mitigação limitado: Ataques modernos podem atingir centenas de Gbps e ultrapassar facilmente o limite de 5 Gbps. Quando o tráfego de ataque excede esse limiar, a filtragem blackhole é acionada. Todo o tráfego da Internet destinado ao seu servidor é descartado, inclusive o tráfego não malicioso, o que causa interrupção completa do service.
Tipos de proteção limitados: A Free Edition limpa ataques comuns nas camadas de rede e de transporte, como ataques de reflexão UDP e SYN Floods. Ela não defende contra ataques na camada de aplicação, como HTTP Floods (ataques CC), que imitam o comportamento real do usuário e esgotam recursos de CPU e memória.
Ausência de políticas granulares: A Free Edition usa uma política automatizada fixa. Não é possível personalizar as configurações de mitigação nem obter relatórios detalhados de ataques.
Melhores práticas
Reduza a exposição à Internet
Ataques DDoS exigem um endereço IP público. Se seus serviços forem internos ou atenderem redes específicas, evite a exposição à Internet. Consulte Reduce the Internet exposure risk of ECS instances, Access cloud services over an internal network or a leased line e Use PrivateLink to reduce unnecessary Internet communication.
Use a Free Edition do Anti-DDoS
O service básico de limpeza DDoS não requer compra nem configuração. Cada endereço IP público tem um limiar de limpeza entre 500 Mbps e 5 Gbps. Abaixo desse limiar, o tráfego de ataque é filtrado automaticamente, enquanto o tráfego não malicioso passa normalmente. A Free Edition limpa apenas ataques comuns nas camadas de rede e de transporte, como ataques de reflexão UDP, SYN Floods e ataques ACK Flood. Ela não limpa ataques na camada de aplicação, como ataques CC. Se o limiar for excedido, a filtragem blackhole descarta todo o tráfego destinado ao endereço IP atacado. A Free Edition é adequada para defesa contra DDoS de baixo volume nas camadas de rede e de transporte.
-
Acesse a página Traffic Security - Overview.
Verifique o status de ataques DDoS dos ativos em sua conta para determinar se eles estão sob ataque ou se foram atacados anteriormente.
A área Historical Attack Analysis da página Overview oferece quatro dimensões de análise: Attack Trends, Hot Assets, Peak Attacks e Attack Duration. Filtre por intervalo de tempo (última semana, 1 mês, 3 meses ou 1 ano) para visualizar gráficos de barras com tendências de métricas como Scrubbing Count, Blackhole Count, Scrubbed IPs e Blackholed IPs.
Acesse a página Traffic Security - Asset Center. No canto superior esquerdo da barra de menus, selecione a região do ativo.
-
Selecione a aba do product cloud desejado, como ECS.
Verifique o status de segurança de ativos específicos, como instâncias ECS e EIPs.
A lista de ativos exibe colunas que incluem Instance ID, IP, IP Status, Defense Capability e Scrubbing Threshold. A área DDoS Attack Protection Description, na parte superior da página, mostra informações como limiares de limpeza, limiares de proteção básica e horário de liberação do blackhole.
Use uma edição paga do Anti-DDoS
A Free Edition tem um limite de 5 Gbps por endereço IP. Exceder esse valor aciona a filtragem blackhole e causa interrupção do service. Além disso, ela não defende contra ataques na camada de aplicação. Se você enfrentar ataques volumétricos ou na camada de aplicação, ou precisar de políticas avançadas de mitigação, selecione uma edição paga do Anti-DDoS.
Anti-DDoS Origin: Integra-se nativamente a products cloud como ECS e Server Load Balancer (SLB), sem necessidade de alterar endereços IP ou DNS. Durante um ataque, o tráfego é desviado para um centro de limpeza na rede backbone da Alibaba Cloud. O tráfego limpo é então encaminhado ao seu servidor. Os benefícios incluem implantação transparente, baixa latência, capacidade de mitigação de até Tbps e políticas granulares para ataques CC. Consulte Purchase an Anti-DDoS Native instance.
Anti-DDoS Pro and Anti-DDoS Premium: Usa redirecionamento DNS ou apontamento de IP para rotear o tráfego por nós de proteção distribuídos globalmente, com largura de banda massiva. O tráfego limpo é encaminhado ao seu servidor de origem independentemente de estar na Alibaba Cloud, o que torna esses serviços ideais para ocultar seu endereço IP de origem. Consulte Purchase an Anti-DDoS Proxy instance.
Visualize o status do ataque
A Alibaba Cloud lida com mais de 100.000 ataques DDoS diariamente. Se seu service ficar inacessível, apresentar timeouts severos ou mostrar desempenho degradado, visualize a página Traffic Security - Overview para obter informações sobre ataques atuais e históricos.
Configure alertas de ataque DDoS
Por padrão, nenhuma notificação é enviada durante um ataque DDoS. Configure regras de alerta no CloudMonitor alerts (Anti-DDoS Origin) ou CloudMonitor alerts (Anti-DDoS Pro and Anti-DDoS Premium):
Alertas de tráfego: Defina limiares de tráfego de entrada e saída para seu endereço IP no CloudMonitor. Um alerta é enviado quando o tráfego excede o limiar. Essa medida é eficaz porque ataques DDoS geram tráfego muito acima dos níveis normais.
Alertas de eventos: Inscreva-se em Alerts for DDoS blackhole filtering alerts e Alerts on Scrubbing Events no CloudMonitor. Quando uma ação Anti-DDoS é acionada, uma notificação é enviada pelo canal de alertas do CloudMonitor.