Normalmente, os invasores usam uma conta ilegal para instalar o programa mestre DDoS em um computador e instalar programas agentes em vários computadores na rede. Dentro de um tempo definido, o programa de controle principal se comunica com um grande número de programas agentes. Quando o programa agente recebe instruções, ele lança ataques ao alvo. O programa de controle principal pode até ativar centenas ou milhares de programas agentes em poucos segundos.

perdas econômicas significativas

violação de dados

Competição maliciosa

Classificação de ataque DDoS Subclasse de ataque descrever Mensagem malformada Mensagens malformadas incluem principalmente Frag Flood, Smurf, Stream Flood, Land Flood, mensagens IP malformadas, mensagens TCP malformadas, mensagens UDP malformadas, etc. Ataques de pacotes malformados referem-se ao envio de pacotes IP defeituosos para o sistema alvo, fazendo com que o sistema alvo trave ao processar tais pacotes, atingindo assim o propósito de um ataque de negação de serviço. Ataque DDoS na camada de transporte Os ataques DDoS da camada de transporte incluem principalmente Syn Flood, Ack Flood, UDP Flood, ICMP Flood, RstFlood, etc. Tomemos como exemplo o ataque Syn Flood. Ele usa o mecanismo de handshake de três vias do protocolo TCP. Quando o servidor recebe uma solicitação Syn, o servidor deve usar uma fila de escuta para salvar a conexão por um determinado período de tempo. Portanto, ao enviar continuamente solicitações Syn ao servidor, mas não responder às mensagens Syn Ack, os recursos do servidor são consumidos. Quando a fila de escuta estiver cheia, o servidor não será capaz de responder às solicitações normais do usuário, atingindo assim o objetivo de um ataque de negação de serviço. Ataque DNS DDoS Os ataques DDoS de DNS incluem principalmente inundação de solicitação de DNS, inundação de resposta de DNS, inundação de consulta de DNS de fonte falsa e de fonte real, ataque de servidor autoritativo e ataque de servidor local. Tomemos como exemplo o ataque DNS Query Flood. Ele essencialmente executa uma solicitação de consulta real, que é um comportamento normal de negócios. No entanto, se várias máquinas fantoches iniciarem solicitações massivas de consulta de nomes de domínio ao mesmo tempo, o servidor não poderá responder às solicitações normais de consulta, resultando em negação de serviço. Ataque DDoS conectado Os ataques DDoS do tipo conexão referem-se principalmente a ataques de conexão lenta TCP, ataques de exaustão de conexão, Loic, Hoic, Slowloris, Pyloris, Xoic e outros ataques lentos. Tomemos como exemplo o ataque Slowloris. Seu alvo de ataque é o limite superior de simultaneidade do servidor web. Quando o número de conexões simultâneas do servidor web atinge o limite superior, o serviço web não pode receber novas solicitações. Quando o serviço web recebe uma nova solicitação HTTP, ele estabelece uma nova conexão para processar a solicitação e fecha a conexão após a conclusão do processamento. Se a conexão estiver sempre conectada, uma nova conexão precisará ser estabelecida para processamento quando uma nova solicitação HTTP for recebida. E quando todas as conexões estiverem conectadas, a web não será capaz de atender nenhuma nova solicitação. O ataque Slowloris utiliza as características do protocolo HTTP para atingir o objetivo do ataque. A solicitação HTTP termina com \r \r identificando os cabeçalhos. Se o servidor web receber apenas \r , considera-se que a parte dos cabeçalhos HTTP não foi finalizada e a conexão será retida e aguardará os subsequentes. solicitar conteúdo. Ataque DDoS na camada de aplicativo da Web Os ataques à camada de aplicativos da Web referem-se principalmente a HTTP Get Flood, HTTP Post Flood, CC e outros ataques. Geralmente, os ataques na camada de aplicativo simulam completamente as solicitações do usuário, semelhantes a vários mecanismos de pesquisa e rastreadores. Não existe um limite estrito entre esses comportamentos de ataque e os negócios normais, e é difícil distinguir. Algumas transações e páginas em serviços web consomem grandes recursos. Por exemplo, para paginação e divisão de tabelas em aplicativos da Web, se os parâmetros que controlam a página forem muito grandes, a virada frequente da página ocupará mais recursos do serviço da Web. Especialmente no caso de alta simultaneidade e chamadas frequentes, transações como essa se tornaram alvo dos primeiros ataques de CC. Como a maioria dos ataques atuais são híbridos, operações frequentes que simulam o comportamento do usuário podem ser consideradas ataques CC. Por exemplo, o acesso a websites por vários softwares de votação é, até certo ponto, um ataque CC. Os ataques CC têm como alvo os negócios de back-end de aplicativos da web. Além de causar negação de serviço, eles também afetarão diretamente as funções e o desempenho dos aplicativos da web, incluindo tempo de resposta da web, serviços de banco de dados, leitura e gravação de disco, etc.

Sua empresa pode ter sofrido um ataque DDoS quando:

Quando a rede e o equipamento estão normais, o servidor sofre repentinamente desconexão, atraso de acesso e desconexão do usuário.

O uso da CPU ou da memória do servidor aumenta significativamente.

Há um aumento significativo no tráfego de entrada ou saída da rede.

O site ou aplicativo de sua empresa recebe repentinamente um grande número de visitas desconhecidas.

O login no servidor falhou ou o login foi muito lento.

Reduza a superfície de exposição, isole recursos e negócios irrelevantes e reduza o risco de ser atacado.

Otimize a arquitetura de negócios e use as características da nuvem pública para projetar um sistema de escalabilidade elástica e comutação de recuperação de desastres.

A segurança do servidor é reforçada e o desempenho do próprio servidor, como o número de conexões, é melhorado.

Escolha a solução de segurança empresarial certa. Alibaba Cloud oferece proteção básica gratuita contra DDoS e soluções de segurança comercial.

A rede de computadores é um ambiente compartilhado que exige que várias partes trabalhem juntas para manter a estabilidade. Alguns comportamentos podem ter impacto na rede geral e nas redes de outros locatários.

arquitetura do produto Proteção básica contra DDoS Proteção nativa DDoS Alta Defesa DDoS (Novo BGP e Internacional) Tipo padrão Aprimorado Introdução à solução Com base na rede de proteção nativa do Alibaba Cloud, o endereço IP do servidor de origem não é alterado para resistir a ataques DDoS na camada de rede e na camada de transporte. O tráfego é direcionado para o centro global de limpeza DDoS da Alibaba Cloud por meio da resolução DNS para resistir a ataques DDoS na camada de rede, camada de transporte e camada de aplicativo, e ocultar o servidor de origem protegido. Capacidade protetora Baixo, com base nas capacidades de defesa do Alibaba Cloud, 500 Mbps ~ 5 Gbps. Para obter detalhes, consulte Limite básico de buraco negro de proteção contra DDoS. É relativamente alto, com base nas capacidades de defesa do Alibaba Cloud, que pode atingir várias centenas de Gbps. Para obter detalhes, consulte O que é proteção nativa contra DDoS. Alto, com base nas capacidades do centro global de limpeza DDoS da Alibaba Cloud, pode atingir até Tbps ou mais. Alto, com base nas capacidades do centro global de limpeza DDoS da Alibaba Cloud, pode atingir até Tbps ou mais. Objeto de proteção Alguns produtos Alibaba Cloud. Incluindo ECS, SLB, EIP (incluindo EIP vinculado ao gateway NAT), gateway IPv6, servidor leve, WAF e GA. Alguns produtos Alibaba Cloud. Incluindo ECS, SLB, EIP (incluindo EIP vinculado ao gateway NAT), gateway IPv6, servidor leve, WAF e GA. Alguns produtos Alibaba Cloud. Atualmente, apenas o EIP aprimorado com proteção DDoS é compatível. Qualquer IP público. Cena aplicável Após adquirir o produto em nuvem correspondente, ele é habilitado por padrão. Grande número de IPs/portas. A largura de banda comercial é grande e o IP externo não pode ser alterado. Por exemplo, a largura de banda do serviço é superior a 1 Gbps e o QPS do serviço HTTP e HTTPS é superior a 5.000. É necessária uma latência extremamente baixa para garantir a continuidade dos negócios durante grandes ataques de tráfego. Sofre ocasionalmente ataques DDoS. Grande número de IPs/portas. A largura de banda comercial é grande e o IP externo não pode ser alterado. Por exemplo, a largura de banda do serviço é superior a 1 Gbps e o QPS do serviço HTTP e HTTPS é superior a 5.000. É necessária menor latência para garantir a continuidade dos negócios durante grandes ataques de tráfego. Os ativos exigem recursos de proteção DDoS no nível de Tbps. Sofre ocasionalmente ataques DDoS. Sofreu mais ataques e ferozes confrontos ofensivos e defensivos. É necessário defender-se contra ataques refinados de CC na camada de aplicação. O IP externo da empresa precisa ser alterado. ilustrar livre. O modelo de compra anual e mensal é dividido em versão inclusiva para pequenas e médias empresas e versão empresarial. Para obter detalhes, consulte Assinatura Anual e Mensal do Native Protection 2.0. Modelo de compra pós-pago, para detalhes consulte Native Protection 2.0 Pós-pago. Modelo de compra pós-pago, para detalhes consulte Native Protection 2.0 Pós-pago. Guia de seleção de versão: Quando a fonte de acesso e o site de origem estiverem na China continental, use o DDoS Anti-DDoS Advanced (novo BGP). Quando a fonte de acesso e o site de origem estiverem fora da China continental, use a versão segura ou sem preocupações no Anti-DDoS Premium (Internacional). Para cenários transfronteiriços (a fonte de acesso está na China continental e a estação de origem está fora da China continental), use a versão de seguro de linha acelerada/versão sem preocupações em Defesa Avançada DDoS (Internacional) ou a linha de aceleração segura.

Tipo de ataque Subclasse de ataque Proteção nativa DDoS Alta Defesa DDoS (Novo BGP e Internacional) Tipo padrão Aprimorado Ataque DDoS na camada de rede Inclui principalmente Frag Flood, Smurf, Stream Flood, Land Flood, mensagens IP malformadas, mensagens TCP malformadas, mensagens UDP malformadas, etc. √ √ √ Ataque DDoS na camada de transporte Inclui principalmente Syn Flood, Ack Flood, UDP Flood, ICMP Flood, reflexão RstFlood/NTP/SSDP/DNS, etc. √ √ √ Ataque DDoS na camada de aplicação (HTTP/HTTPS) Também conhecidos como ataques CC de camada de aplicação Web, eles incluem principalmente ataques CC HTTP/HTTPS, ataques lentos HTTP (Loic/Hoic/Slowloris/Pyloris/Xoic) e outros ataques CC direcionados a serviços HTTP, como sites, interfaces API, WebSocket e outros serviços. . × × √ Ataque DDoS na camada de aplicativo (protocolo da camada de aplicativo TCP diferente de HTTP/HTTPS) Também conhecidos como ataques CC de camada de aplicativo não-Web, eles incluem principalmente TCP CC, conexão nula TCP, ataques de consumo de recursos de conexão TCP e outros ataques CC baseados em camada de aplicativo TCP direcionados a serviços não HTTP, como protocolos privados, MySQL, MQTT, RTMP e outros serviços. × √ Na versão beta pública, atualmente oferece suporte apenas à região de Hangzhou. Entre em contato com o gerente de negócios por meio de consulta on-line de pré-venda para se inscrever. √ Ataque DDoS na camada de aplicativo (protocolo da camada de aplicativo baseado em UDP) Ataques CC a serviços UDP, como UDP-CC e DNS-Floood de serviços NS, como serviços NS, serviços de jogos UDP, chamadas de voz UDP e outros serviços. ilustrar A proteção UDP Business CC requer a compra adicional do Security Manager, caso contrário, não será suportada. √ Suporta limpeza de ataques DNS em serviços não NS. Se você precisar proteger os serviços NS, use a segurança DNS. √ Suporta limpeza de ataques DNS em serviços não NS. Se você precisar proteger os serviços NS, use a segurança DNS. √ Suporta limpeza de ataques DNS em serviços não NS. Se você precisar proteger os serviços NS, use a segurança DNS.

Para o tráfego comercial normal após o acesso, a proteção inteligente de IA da solução de proteção DDoS terá tempo de aprendizado para as características do tráfego comercial normal. Se você sofrer um ataque DDoS ou ataque CC logo após acessar o negócio, pode haver transmissão transparente de ataque instantâneo. para o primeiro ataque, é recomendável melhorar ao máximo a capacidade de carga do site de origem e configurá-lo de acordo com as seguintes recomendações:

Proteção nativa DDoS

Alta Defesa DDoS (Novo BGP e Internacional)