OSS Sandbox: Preventive Measures and Remediation for Sandboxed Buckets - Object Storage Service: Central de Documentação do Alibaba Cloud

Quando seu bucket do Object Storage Service (OSS) sofre um ataque ou é utilizado para distribuir conteúdo ilegal, o OSS o move automaticamente para uma sandbox. Um bucket em sandbox continua respondendo a solicitações, mas com qualidade de service degradada. Isso pode afetar a disponibilidade da rede, causar timeouts nas requisições e impactar significativamente suas aplicações.

Observações importantes

Você é responsável por todos os custos decorrentes do ataque.
Caso um bucket seja usado para distribuir conteúdo ilegal, como material pornográfico, político ou terrorista, o OSS moverá esse bucket para a sandbox. Violações graves podem resultar em consequências legais.

Medidas preventivas contra ataques

Para evitar que seu bucket seja colocado em sandbox devido a ataques DDoS, CC ou outros tipos, configure a proteção DDoS do OSS ou implemente um proxy reverso no ECS vinculado a uma instância do Anti-DDoS Proxy. A tabela a seguir compara essas duas soluções.

Solução	Descrição	Vantagens	Desvantagens
Solução 1: Configure a proteção DDoS do OSS	A proteção DDoS do OSS é um service de mitigação baseado em proxy que integra o OSS ao Anti-DDoS Proxy. Quando um bucket protegido sofre um ataque de grande volume, a proteção redireciona o tráfego malicioso para um cluster de limpeza. O tráfego legítimo é então encaminhado ao bucket de destino, garantindo a continuidade dos negócios.	Casos de uso versáteis: Protege tanto endpoints de bucket quanto nomes de domínio personalizados. Custo reduzido: As taxas de proteção DDoS baseiam-se na quantidade de instâncias do Anti-DDoS Proxy, no volume de tráfego protegido e no número de solicitações. Para mais informações, consulte Anti-DDoS fees. Configuração simplificada: Interface gráfica disponível no console.	Quantidade limitada de buckets protegidos: É possível crie apenas uma instância de proteção DDoS do OSS por região, vinculável a no máximo 10 buckets.
Solução 2: Configure um proxy reverso no ECS e vincular uma instância do Anti-DDoS Proxy	Por questões de segurança, o nome de domínio padrão de um bucket resolve para um endereço IP que muda aleatoriamente. Se você precisar acessar o OSS por meio de um endereço IP fixo, recomendamos configure um proxy reverso em uma instância ECS. O elastic IP address (EIP) dessa instância ECS pode ser vinculado a uma instância do Anti-DDoS Proxy para defesa contra ataques DDoS e CC.	Ideal para cenários que exigem acesso ao OSS por meio de um endereço IP fixo.	Configuração complexa: Configuração manual do proxy reverso Nginx necessária. Custo mais elevado: Requer aquisição de instância ECS adicional para implementar o proxy reverso.

Siga estas etapas para implementar as duas soluções:

Solução 1: Configure a proteção DDoS do OSS
Execute os passos abaixo para configure a proteção DDoS do OSS para um bucket no console do OSS:
1. Crie uma instância de proteção DDoS do OSS.
2. Vincule o bucket.
  
  Após vincular o bucket, a instância de proteção DDoS do OSS começa a proteger o endpoint público dele.
  
  A proteção DDoS do OSS suporta apenas endpoints públicos de bucket, como oss-cn-hangzhou.aliyuncs.com. Os seguintes tipos de endpoint não são suportados:
  - Endpoints de aceleração de transferência (oss-accelerate.aliyuncs.com e oss-accelerate-overseas.aliyuncs.com)
  - Pontos de acesso (por exemplo, ap-01-3b00521f653d2b3223680ec39dbbe2****-ossalias.oss-cn-hangzhou.aliyuncs.com)
  - Pontos de acesso do Object FC (por exemplo, fc-ap-01-3b00521f653d2b3223680ec39dbbe2****-opapalias.oss-cn-hangzhou.aliyuncs.com)
  - Endpoints acessados via IPv6 (por exemplo, cn-hangzhou.oss.aliyuncs.com)
  - Endpoints compatíveis com Amazon S3 (por exemplo, s3.oss-cn-hongkong.aliyuncs.com)
  Para mais informações, consulte OSS DDoS protection.
Solução 2: Configure um proxy reverso no ECS e vincular uma instância do Anti-DDoS Proxy

Para configure um proxy reverso no ECS e vincular uma instância do Anti-DDoS Proxy, siga os passos abaixo:
1. Configure o proxy reverso no ECS.
  1. Crie uma instância ECS com CentOS ou Ubuntu. Para mais detalhes, consulte Create an ecs instance.
    
    Importante
    Se houver previsão de alto tráfego de rede ou grande volume de solicitações para o bucket, atualize as especificações da instância ECS ou implemente um cluster de ECS.
  2. Configure um proxy reverso no ECS para acessar o OSS. Consulte Use an ecs instance as a reverse proxy to access OSS para instruções detalhadas.
2. Vincule a instância do Anti-DDoS Proxy.
  1. Purchase an Anti-DDoS Proxy instance conforme os requisitos do seu negócio.
  2. Add website configurations. No console do Anti-DDoS Proxy, adicione uma configuração de site. Em Websites, selecione Standard Function ou Enhanced Function. No campo Website, insira seu nome de domínio, como www.example.com. Para Protocol Type, selecione HTTPS. Em Server Address, escolha Origin IP e insira o endereço IP de origem. A Server Port para HTTPS é 443. Expanda as configurações avançadas para defina opções como Force HTTPS Redirect, Enable HTTP to Origin, Enable HTTP/2 e Enable OCSP. Após concluir a configuração, clique em Add.

Recuperação de buckets colocados em sandbox devido a ataques

A Alibaba Cloud não remove buckets da sandbox diretamente. Caso seu bucket tenha sido movido para a sandbox em decorrência de um ataque, siga as orientações abaixo.

É obrigatório configure a proteção DDoS do OSS para seu bucket nos seguintes cenários:

O bucket foi movido para a sandbox devido a ataques recorrentes.
Múltiplos buckets de uma mesma conta sofrem ataques repetidos; nesse caso, todos os buckets existentes e novos dessa conta são movidos para a sandbox por padrão.

Para obter o passo a passo completo, consulte Configure OSS DDoS protection. Após finalizar a configuração, o service remove automaticamente o bucket da sandbox e roteia seu tráfego pelo endpoint nativo ou pelo endereço IP protegido pelo Anti-DDoS.