Ataques DDoS contra uma instância do Web Application Firewall (WAF) podem acionar o blackhole filtering. Este tópico descreve o impacto do acionamento do blackhole filtering e a respectiva solução.
Impacto
Se uma instância do Web Application Firewall (WAF) sofrer ataques DDoS e o pico de tráfego do ataque exceder a capacidade gratuita de mitigação de DDoS da instância, o sistema acionará o blackhole filtering. O sistema então roteia o tráfego destinado ao endereço IP exclusivo padrão da instância do WAF para um endereço IP inexistente. Nesse caso, você receberá notificações na página
Overview
do console do WAF.
Após o acionamento do blackhole filtering, o WAF descarta todo o tráfego redirecionado para a instância, incluindo tráfego legítimo e de ataque. Durante o blackhole filtering, todos os nomes de domínio adicionados à instância do WAF ficam inacessíveis.
Métodos para desativar o blackhole filtering e mitigar ataques DDoS
O sistema desativa o blackhole filtering automaticamente após um período específico. Por padrão, a desativação ocorre 150 minutos após o acionamento. O limiar para acionar o blackhole filtering na instância do WAF corresponde ao limiar padrão que a Alibaba Cloud utiliza para acionar o blackhole filtering na região da sua instância do Elastic Compute Service (ECS). Para mais informações sobre as políticas de blackhole filtering, consulte
Alibaba Cloud blackhole policy
.
Por padrão, cada instância do WAF possui um endereço IP exclusivo. Caso ocorra o acionamento do blackhole filtering em um endereço IP exclusivo padrão, todos os nomes de domínio adicionados à instância do WAF ficarão inacessíveis. Para evitar que ataques DDoS direcionados a outros domínios protegidos pela mesma instância do WAF afetem um nome de domínio importante, recomendamos a compra de um endereço IP exclusivo para o domínio importante. Para mais informações sobre endereços IP exclusivos, consulte
Domain name-exclusive resource plans
.
Para mitigar ataques DDoS, recomendamos o uso do Anti-DDoS Pro ou Anti-DDoS Premium para proteger seu nome de domínio. Se você implantou o WAF com o Anti-DDoS Pro ou Anti-DDoS Premium, mas o sistema continua acionando o blackhole filtering para o WAF, envie um Ticket para entrar em contato com a equipe de pós-venda.
Perguntas frequentes sobre o WAF com blackhole filtering acionado
-
O blackhole filtering foi acionado na minha instância do WAF. É possível desativá-lo imediatamente?
Não, não é possível desativar o blackhole filtering imediatamente após o acionamento. A Alibaba Cloud adquire o blackhole filtering de provedores de service de Internet (ISPs). Os ISPs impõem limites rígidos quanto ao tempo e à frequência para desativar o blackhole filtering. Portanto, não é possível desativá-lo manualmente. Você deve aguardar a desativação automática do blackhole filtering.
NotaMesmo que fosse possível desativar o blackhole filtering imediatamente, o sistema o acionaria novamente se a instância do WAF continuasse sofrendo ataques DDoS.
-
Vários nomes de domínio estão adicionados à minha instância do WAF. Como verifico qual nome de domínio está sob ataque?
Atacantes podem resolver um nome de domínio adicionado ao WAF para obter o endereço IP da instância do WAF e, em seguida, lançar ataques DDoS contra esse endereço IP. Os ataques DDoS têm como alvo o endereço IP exclusivo padrão de uma instância do WAF. Não é possível determinar qual nome de domínio está sob ataque com base apenas no tráfego de ataque.
No entanto, você pode alterar os registros DNS dos nomes de domínio para identificar o domínio atacado. Por exemplo, resolva alguns nomes de domínio para o WAF e os demais para outros services, como ECS, Alibaba Cloud CDN ou Server Load Balancer (SLB). Caso o blackhole filtering não seja mais acionado após essa operação, o domínio atacado estará entre aqueles resolvidos para os outros services. Contudo, esse método é complexo e pode expor alguns ativos na Internet, como o endereço IP do servidor de origem, gerando problemas de segurança mais graves. Portanto, não recomendamos o uso desse método para determinar o nome de domínio atacado.
-
O blackhole filtering foi acionado na minha instância do WAF. Posso evitar esse problema alterando o endereço IP da minha instância do WAF?
Não, não é possível evitar o blackhole filtering apenas alterando o endereço IP. Se os atacantes tiverem sua instância como alvo, eles poderão executar um ping no seu nome de domínio para obter o endereço IP da instância do WAF, independentemente da alteração do IP.
-
Qual é a diferença entre ataques DDoS e ataques de flood HTTP? Por que o WAF não consegue mitigar ataques DDoS?
Os ataques DDoS são comuns na camada 4, enquanto os ataques de flood HTTP ocorrem na camada 7. Os ataques de flood HTTP podem usar requisições HTTP GET ou POST. O WAF consegue bloquear ataques de flood HTTP. Para mitigar ataques DDoS, o WAF precisaria receber um volume enorme de tráfego antes de limpá-lo. No entanto, o WAF não fornece largura de banda suficiente para esse cenário. Por isso, recomendamos o uso do Anti-DDoS Pro ou Anti-DDoS Premium para mitigar ataques DDoS.