Her genel IP adresi, 5 Gbps'ye kadar ücretsiz DDoS temizleme hizmeti içerir. Daha güçlü koruma için Anti-DDoS Origin veya Anti-DDoS Pro ve Anti-DDoS Premium hizmetlerini kullanın.
Güvenlik riskleri
Dağıtık Hizmet Reddi (DDoS) saldırılarında saldırganlar, çok sayıda ele geçirilmiş ana bilgisayarı kullanarak web sunucunuz veya uygulama API'niz gibi hedeflere görünüşte meşru isteklerle yüklenir. Bu istekler bant genişliği, CPU, bellek veya bağlantı gibi sistem kaynaklarını tüketerek yavaş yanıtlara veya çökmelere neden olur. Meşru kullanıcılar erişim kaybeder; bu durum finansal kayıplara ve marka hasarına yol açar. E-ticaret, çevrimiçi oyunlar ve finansal ödeme hizmetleri özellikle kampanyalar veya büyük etkinlikler sırasında yaygın hedefler arasındadır.
Alibaba Cloud, her genel IP adresi için 5 Gbps'ye kadar ücretsiz Anti-DDoS koruması sunar. Bu temel korumanın aşağıdaki sınırlamaları vardır:
Sınırlı azaltma eşiği: Modern saldırılar yüzlerce Gbps seviyesine ulaşabilir ve bu da 5 Gbps limitini kolayca aşar. Saldırı trafiği bu eşiği aştığında blackhole filtreleme tetiklenir; sunucunuza gelen tüm İnternet trafiği (kötü niyetli olmayan trafik dahil) atılır ve hizmet tamamen kesintiye uğrar.
Sınırlı koruma türleri: Ücretsiz sürüm yalnızca UDP yansıtma saldırıları ve SYN Flood gibi yaygın ağ katmanı ve taşıma katmanı saldırılarını temizler. Gerçek kullanıcı davranışlarını taklit ederek CPU ve bellek kaynaklarını tüketen HTTP Flood (CC saldırıları) gibi uygulama katmanı saldırılarına karşı koruma sağlayamaz.
Ayrıntılı ilke desteği yok: Ücretsiz sürüm sabit bir otomatik ilke kullanır. Azaltma ayarlarını özelleştiremez veya ayrıntılı saldırı raporları alamazsınız.
En iyi uygulamalar
İnternet maruziyetini azaltın
DDoS saldırıları için hedefin bir genel IP adresine sahip olması gerekir. Hizmetleriniz dahiliyse veya belirli ağlara hizmet veriyorsa İnternet'e açık hale getirmekten kaçının. Bkz. ECS örneklerinin İnternet maruziyeti riskini azaltma, Cloud hizmetlerine dahili ağ veya kiralık hat üzerinden erişme ve Gereksiz İnternet iletişimini azaltmak için PrivateLink kullanma.
Ücretsiz Anti-DDoS sürümünü kullanın
Temel DDoS temizleme hizmeti için satın alma veya yapılandırma gerekmez. Her genel IP adresi için 500 Mbps ile 5 Gbps arasında bir temizleme eşiği bulunur. Bu eşiğin altında saldırı trafiği otomatik olarak filtrelenirken kötü niyetli olmayan trafik geçer. Ücretsiz sürüm yalnızca UDP yansıtma saldırıları, SYN Flood ve ACK Flood saldırıları gibi yaygın ağ katmanı ve taşıma katmanı saldırılarını temizler. CC saldırıları gibi uygulama katmanı saldırılarını temizleyemez. Eşik aşılırsa blackhole filtreleme, saldırıya maruz kalan IP adresine gelen tüm trafiği atar. Ücretsiz sürüm, düşük hacimli ağ katmanı ve taşıma katmanı DDoS savunması için uygundur.
-
Trafik Güvenliği - Genel Bakış sayfasına gidin.
Hesabınız altındaki kaynakların DDoS saldırı durumunu görüntüleyerek saldırı altında olup olmadıklarını veya daha önce saldırıya maruz kalıp kalmadıklarını belirleyin.
Overview sayfasındaki Historical Attack Analysis alanı dört analiz boyutu sağlar: Attack Trends, Hot Assets, Peak Attacks ve Attack Duration. Zaman aralığına (son 1 hafta, 1 ay, 3 ay veya 1 yıl) göre filtreleme yaparak Scrubbing Count, Blackhole Count, Scrubbed IPs ve Blackholed IPs gibi ölçümlerin çubuk grafik trendlerini görüntüleyebilirsiniz.
Trafik Güvenliği - Asset Center sayfasına gidin. Menü çubuğunun sol üst köşesinde kaynağın bulunduğu bölgeyi seçin.
-
ECS gibi cloud ürün sekmesini seçin.
ECS örnekleri ve EIP'ler gibi belirli kaynakların güvenlik durumunu görüntüleyin.
Kaynak listesi; Instance ID, IP, IP Status, Defense Capability ve Scrubbing Threshold gibi sütunlar gösterir. Sayfanın üst kısmındaki DDoS Attack Protection Description alanı temizleme eşikleri, temel koruma eşikleri ve blackhole serbest bırakma süresi gibi bilgileri gösterir.
Ücretli Anti-DDoS sürümü kullanın
Ücretsiz sürüm, IP adresi başına 5 Gbps ile sınırlıdır; bu sınırın aşılması blackhole filtrelemeyi tetikler ve hizmet kesintisine neden olur. Ayrıca uygulama katmanı saldırılarına karşı koruma sağlayamaz. Hacimsel veya uygulama katmanı saldırılarıyla karşılaşıyorsanız ya da gelişmiş azaltma ilkelerine ihtiyacınız varsa ücretli bir Anti-DDoS sürümü seçin.
Anti-DDoS Origin: ECS ve Server Load Balancer (SLB) gibi cloud ürünleriyle yerel olarak entegre olur; IP adresi veya DNS değişikliği gerektirmez. Saldırı sırasında trafik Alibaba Cloud omurga ağındaki bir temizleme merkezine yönlendirilir. Temizlenen trafik ardından sunucunuza iletilir. Şeffaf dağıtım, düşük gecikme süresi, Tbps seviyesine kadar azaltma kapasitesi ve ayrıntılı CC saldırısı ilkeleri gibi avantajlar sunar. Bkz. Anti-DDoS Native örneği satın alma.
Anti-DDoS Pro ve Anti-DDoS Premium: Trafiği devasa bant genişliğine sahip küresel olarak dağıtılmış koruma düğümleri üzerinden yönlendirmek için DNS yeniden yönlendirme veya IP işaretlemeyi kullanır. Kaynak sunucunuz Alibaba Cloud'da olsun veya olmasın temiz trafik kaynak sunucuya iletilir; bu nedenle bu hizmetler kaynak IP adresinizi gizlemek için idealdir. Bkz. Anti-DDoS Proxy örneği satın alma.
Saldırı durumunu görüntüleme
Alibaba Cloud her gün 100.000'den fazla DDoS saldırısını işler. Hizmetinize erişilemiyorsa, ciddi zaman aşımları yaşıyorsa veya performans düşüklüğü gösteriyorsa mevcut ve geçmiş saldırı bilgileri için Trafik Güvenliği - Genel Bakış sayfasını kontrol edin.
DDoS saldırısı uyarıları ayarlama
Varsayılan olarak DDoS saldırısı sırasında bildirim gönderilmez. CloudMonitor uyarıları (Anti-DDoS Origin) veya CloudMonitor uyarıları (Anti-DDoS Pro ve Anti-DDoS Premium) içinde uyarı kuralları yapılandırın:
Trafik Uyarıları: CloudMonitor'da IP adresiniz için gelen ve giden trafik eşiklerini ayarlayın. Trafik eşiği aştığında bir uyarı gönderilir; DDoS saldırıları normal seviyelerin çok üzerinde trafik oluşturduğundan bu yöntem etkilidir.
Olay Uyarıları: CloudMonitor'da DDoS blackhole filtreleme uyarılarına ve Temizleme Olaylarına ilişkin Uyarılara abone olun. Bir Anti-DDoS eylemi tetiklendiğinde CloudMonitor uyarı kanalı aracılığıyla bir bildirim gönderilir.