O ApsaraDB RDS protege instâncias de banco de dados contra ataques nas camadas de rede e de aplicação, incluindo mitigação de ataques DDoS (filtragem de tráfego e blackhole filtering) e detecção de injeção de SQL.
Conecte-se às instâncias do RDS pela rede interna em vez da Internet. Essa prática ajuda a prevenir ataques DDoS.
Mitigação de ataques DDoS
Ataques volumétricos de rede inundam uma instância do RDS com tráfego da Internet para esgotar sua capacidade e negar o service a usuários legítimos. O RDS se defende automaticamente desses ataques em duas etapas:
Filtragem de tráfego: filtra o tráfego malicioso e mantém a instância acessível.
Blackhole filtering: aplica-se quando a filtragem não consegue conter o ataque ou quando o limiar de ativação do blackhole é atingido. Descarta todo o tráfego de entrada da Internet para proteger a infraestrutura subjacente.
O sistema ativa e encerra ambas as etapas automaticamente.
Filtragem de tráfego
A filtragem de tráfego atua apenas sobre o tráfego de entrada da Internet e não afeta conexões de rede interna nem operações normais do banco de dados.
A filtragem é acionada quando qualquer um dos seguintes limiares é atingido:
|
Métrica |
Limiar |
|
Pacotes por segundo (PPS) |
30.000 |
|
Bits por segundo (BPS) |
180 Mbit/s |
|
Novas conexões simultâneas por segundo |
10.000 |
|
Conexões simultâneas ativas |
10.000 |
|
Conexões simultâneas inativas |
100.000 |
Blackhole filtering
O blackhole filtering é uma medida de último recurso. Quando ativado, todo o tráfego de entrada da Internet destinado à instância do RDS é descartado no nível de rede, tornando a instância inacessível pela Internet. Aplicações conectadas pela Internet ficam indisponíveis até o fim da filtragem.
O blackhole filtering não afeta conexões de rede interna.
O blackhole filtering é acionado quando uma das seguintes condições é atendida:
O BPS atinge 2 Gbit/s.
A filtragem de tráfego não consegue conter o ataque.
O blackhole filtering é encerrado automaticamente após 2,5 horas.