安全防護：Anti-DDoS 設定教學
前面我們持續帶入新的服務利用架構的方式解決網站負載問題，在資安方面使用了應用防火牆 (WAF) 能有效的防阻 Http Flood 等第七層的攻擊行為，但 WAF 只針對應用層的行為做分析及精確的訪問規則，對於網路層、傳輸層的攻擊並無法保護，由其在傳輸層的攻擊往往會造成龐大的流量導致網路壅塞瓶頸，而在面臨 TCP、UDP 等傳輸層的攻擊，在阿里雲上提供了全球 Anycast 的 Anti-DDoS 可以有效緩解攻擊所造成的全面影響。
分散式阻斷服務攻擊 (Distributed Denial of Service，DDoS)
是目前一種最常見的網路攻擊，因其攻擊的技術難度不高，甚至坊間都有很多攻擊程式可以找的到，並且攻擊目標大多為網路服務目的是開放給大眾的金融、遊戲娛樂、電商平台、影音直播等產業，因此無法透過一些網路防火牆的限制方式完全拒絕攻擊，因此能直接的造成提供的服務不可用的重大商業損失。
幾種常見DDoS目的：
- 消耗網路頻寬資源：大量佔用目標物伺服器頻寬造成網路堵塞
ICMP Flood、UDP Flood、SSDP Attack、NTP Amplification Attacks、DNS Amplification Attacks、Memcached Amplification Attacks
- 消耗伺服器資源：透過TCP三項交握協議特性，達到目標伺服器CPU及RAM過載
SYN Flood、SYN ACK Flood、ACK Flood、ICMP Flood、Sockstress Attack
- 消耗應用服務資源：透過大量session及特殊封包模式等，增加回應時間造成應用的功能瓶頸
HTTP Flood(CC)、DNS Flood、SSL Flood、Slowloris Attack
圖：常見的 DDoS 攻擊類型
Anti-DDoS 高防 (Anti-DDoS Premium)
高防會透過代理的方式設置，並將來至 Internet 上的訪問流量導入至高防清洗中心(Cleaning Center)，封包將自動比對惡意攻擊特徵資料庫，並進行過濾讓正常的訪問流量轉發回後端伺服器，以此方式讓服務不受影響中斷。以下介紹筆者認為 Anti-DDoS 高防的關鍵功能：
- Anycast：DDoS 高防在全球有數個基於 Anycast IP 網路架構基礎上的 Cleaning Center，透過分散式的方式，讓分散式阻斷攻擊的來源無法匯集在一起，達到單一清洗中心部會因為遭受大量網路攻擊而網路癱瘓。
- 流量調度器：流量調度器是高防的一項附加服務，透過DNS搭配攻擊特徵比對，讓高防服務能在CDN與其它優化連線的雲服務之間做智能判斷切換。
Anti-DDoS 實務操作
接著我們要在WAF前在加上一層高防服務保護3-7層上的網路安全，並且透過高防服務附加的DNS調度服務讓我們的服務在未受大量DDoS攻擊前使用CDN讓訪問者能有最好的訪問體驗。
操作概念示意圖
(1) 在產品列表 Security 分類上，找到 DDoS 高防(Anti-DDos)
(2) 在高防選擇上主要分為三類，簡單區分：
- DDoS 高防(國際) 面向全球用戶
- DDoS (新BGP) 主要中國用戶
- DDoS 原生防護主要保護在同一地區阿里雲上服務
防護方案分為：
- 保險版一個月提供2次24小時的攻擊防護，對於有活動推廣時可以在有限預算上預防攻擊造成的推廣損失
- 無憂版為沒有上限的防護，相對的成本是高的
- 加速線路主要是提供中國用戶訪問到全球透過這項附加服務可以有優異的訪問品質(該服務本身沒有DDoS防護，並須搭配其它兩個版本才能達到防護能力)
功能選擇：
- 預設為標準功能，如果有 websocket(s) 等長連接協議、CDN 調度、加速線路調度等功能需要選擇增強功能
(3) 建立好高防實例後，可以在實例管理裡看到配置好的高防 Anycast 實例 IP
(4) 接著可以選擇代理方式，分為：
- 域名接入是透過第七層的方式代理，這裡我們將WAF的cname位址加入後端伺服器地址
- 端口接入是透過第四層的方式代理，如果服務是TCP、UDP及80、443、8080以外的port需要選擇端口接入
(5) 看起來很簡單就能完成配置，接著只要將高防的cname解析到網站域名就完成高防接入了
註：實際在這次實驗先不解析到網站，我們需要透過調度器讓CDN和高防之間互相切換
(6) 在流量調度器裡可以看到幾種調度方式介紹，這邊選擇CDN聯動調度點選添加聯動
(7) 阿里雲會自動判斷逾名是否在阿里雲CDN上勾選需要關聯的高防實例，並設定QPS閥值完成關聯設定
(8) 設定完在調度器會產生一組 cname domain，裡面包含著 CDN、高防實例的domain 位址，透過智能調度器判斷近來的流量是否存在攻擊行為並切換服務
(9) 最後將調度器cname解析上網站 domain name
(10) 透過本機端 nslookup 解析網站 domain 驗證可以得知，在未受到攻擊時解析得到調度器 cname 位址以及阿里雲 CDN 的 cname 位址與節點 IP
(11) 為了驗證切換功能，透過一些方法壓力測試自己的服務(噓..)，發現在壓力測試一陣子後調度器判斷為攻擊行為因此解析後得到了高防實例的 Anycast IP，從網站開發者模式驗證確實切換到高防 IP
(12) 在阿里雲平台上攻擊分析可以看到目前所發生的事件，阿里雲這裡判別為 http flood 攻擊，以切換到高防線路進行惡意流量過濾清洗
(13)在 DDoS 高防的安全總覽也可以看到即時及歷史的攻擊流量狀況，包含第四層及第七層的攻擊
(14) 在攻擊結束後預設調度器會自動判斷並將流量切換回 CDN，也可以手動在平台上做操作切換
透過 DDoS 高防我們可以有效降低網路攻擊造成的損失，在未來網路攻擊將會隨著科技高速發展日益嚴重，手機設備隨著 5G 高速網路逐漸普及，勢必會造就新型態 DDoS 阻斷攻擊，資訊安全未來將會是需要不斷演進且持續性的攻防戰。
來源網址：https://www.alibabacloud.com/blog/599165
其他動態
雲端技術如何驅動金融科技創新？阿里雲的五大關鍵方案
2023/02/06
加速數位轉型：借助 GCP Gemini 和 Colab Enterprise 打造高效開發團隊
2023/02/06
優化用量、削減費用：掌握雲端流量管理的關鍵技巧
2023/02/06
利用 Database Migration Service 無縫升級 Cloud SQL MySQL 和 PostgreSQL 資料庫
2023/02/06
企業上雲，果核數位為企業打造雲端資安防護，實現雙贏安全與效能
2023/02/06
騰訊雲媒體傳輸如何實現毫秒級跨洲延遲，助力大型賽事直播
2023/02/06
【Okta | Akamai | 果核 | 奧登 _ 企業資安升級 從零信任架構到API防護 】活動報名
2023/02/06
果核積極拓展經銷通路，共創 SPKITA 社交工程演練生態系
2023/02/06
【DevSecOps實戰：從地端到雲端，全面提升軟體開發安全性】 說明會報名
2023/02/06
果核分享實用方案，助力打造通暢無礙的軟體安全開發流程
2023/02/06
iThome Cloud Summit - 實現快速安全現代化 - 跨雲和混合式安全管理
2023/02/06
2024 年度雲端盛會 Google Cloud Summit 即將登場！
2023/02/06
Hacker Talk 論壇報名 - 點破常見的資安迷思，再帶您一次導覽亞洲新型詐騙趨勢!
2023/02/06
CYBERSEC 2024 臺灣資安大會 - 果核數位攤位編C233 ，填問券送好禮!
2023/02/06
HyperG持續深化appGuard防禦力，捍衛企業機構App安全
2023/02/06
【軟體安全開發 X 資安佈署】說明會報名
2023/02/06
無人機資安風險與企業資安人力部署的困境
2023/02/06
ESG 3D數位分身 智慧戰情監控平台將於 2024 智慧城市展展出
2023/02/06
AI 2.0智勝新局 - 2024 IBM Solutions Day
2023/02/06
如何確保做好企業資訊安全？這4大DDOS防護方法，推薦學起來！
2023/02/06
果核數位將於 2024 台北國際電玩展B2B商務區展出
2023/02/06
全面導入AWS以培訓提升員工技能，並使遊戲上市時間加速 70%
2023/02/06
果核數位力推 DevOps 開發流程安全思維
2023/02/06
果核數位舉辦原碼檢測工作坊，引領企業實踐安全軟體開發之路
2023/02/06
2023年最後一場駭客論壇，精彩議程搶先看!!
2023/02/06
ISO 27001：2022 轉版重點及技術措施解析
2023/02/06
果核攜手Check Point，提出業界最完整的雲端資安攻略
2023/02/06
【Source Code Analysis Workshop】活動報名
2023/02/06
【強化DevOps開發流程安全】 說明會報名
2023/02/06
阿里雲 x 果核數位 每月199雲端乖乖包，保護您的業務順暢運營
2023/02/06
DevOpsDays Taipei 2023_DevOps系統委外開發案實務案例分享
2023/02/06
【ISO 27001改版 - 企業資安轉版重點解析】 說明會報名
2023/02/06
惡意後門與自駕車載資安層出不窮，我們邀請資深資安講師分享個人獨到見解
2023/02/06
果核數位匯聚SOC與CNAPP能量，有效打造跨雲安全管理服務
2023/02/06
【Alibaba Cloud x Digicentre】未來產業趨勢論壇 迎接下一波網路革命
2023/02/06
2023 年 臺灣雲端大會-企業轉型上雲安全實作分享
2023/02/06
核智安全從開發端切入，完整保護 App 安全，以 appGuard 融入 DevOps 開發維運流程，展現一條龍服務及在地專業團隊優勢
2023/02/06
直播點播加密：安心享受視頻內容，防範未經授權的觀眾亂入我的平臺
2023/02/06
新一代安全直播解決方案：快直播抵擋駭客盜用鏈結
2023/02/06
AI FOR ALL，四大趨勢觀點引領你探索最新趨勢變化
2023/02/06
AWS AppStream 2.0 快速上手
2023/02/06
善用抵稅制度強化企業資安防禦力
2023/02/06
果核數位攜手 OpenText 完美演繹如何破解程式漏洞危機
2023/02/06
調查局與企業資安顧問微妙融合，即將掀起驚滔"駭"浪的資安秘辛，您還不來報名嗎?
2023/02/06
CYBERSEC 2023 臺灣資安大會 - 企業安全開發流程升級之路
2023/02/06
【資安投資抵稅 快速通關說明會】 報名
2023/02/06
【落實資安防護，杜絕漏洞風險】 活動報名
2023/02/06
3D數位分身，智慧城市整合監控平台將於2023智慧城市展展出
2023/02/06
2023年首發論壇，快來手刀報名，來聽專業的怎麼說!
2023/02/06
安全防護：Anti-DDoS 設定教學
2023/02/06
十倍速遊戲開發效率SGC研習會
2023/02/06
果核數位將於2023台北國際電玩展B2B商務區展出
2023/02/06
一文概覽阿里雲 DDoS 防護六項優勢、四種方案抵禦 DDoS 攻擊手段！
2023/02/06
以資安治理角度理解 OWASP Top 10 2021
2023/02/06
製造業如何運用雲端技術進行創新轉型
2023/02/06
電腦軟體共同供應契約採購【資通安全服務暨資訊服務】-果核數位
2023/02/06
以資安治理角度理解OWASP Top 10 2021
2023/02/06
公司企業活用CNAPP自動化工具，公有雲安全保護您的資安！
2023/02/06
HACKER TALK - 企業資安要做到多安全才是足夠? IoT浪潮下如何面對排山倒海的漏洞? 精彩議程您不能錯過!!
2023/02/06
果核基於深厚實務歷練，揭露雲端資安進階防護心法
2023/02/06
從資安治理角度理解 OWASP Top 10 2021 - iThome臺灣資安大會邀請你一同參與
2023/02/06
【強化應變 建立韌性 發展永續金融】金融資安發展論壇 - 加密軟體及金鑰管理應用
2023/02/06
企業放心的資訊安全管理系統，結合Security Scorecard與Tenable！
2023/02/06
【改變一應萬變】政府資安發展論壇 - 數據整合戰情中心可視化的重要性
2023/02/06
服務上雲不需要擔心資安問題，兩全其美解決方案到底關鍵是甚麼!? 快報名iThome 台灣雲端大會，千萬不能錯過!
2023/02/06
【智慧戰情室】企業3D資料視覺化，WeMB方案完美整合數據
2023/02/06
蓋亞資訊攜手果核數位打造手機App資安全面防護網
2023/02/06
伊雲谷、果核數位共推雲端資安解決方案appGuard
2023/02/06
科技視覺，釋放數據新價值，創造高效關鍵決策 - 2022 智慧城市與物聯網 南港展覽館
2023/02/06
HACKER TALK - 關鍵基礎設施一點也不安全?! XP 時代的惡意程式盛行又該如何應對?
2023/02/06
2022 資安365年會-OWASP Top 10 2021企業指南
2023/02/06
未來的CDN服務主流：複合式CDN平台的管理與效用
2023/02/06
駭客首要攻擊目標Active Directory(AD)!該如何保障AD安全並阻斷攻擊?! 馬上報名【InfoSec Taiwan國際資安大會】將為您現場說明
2023/02/06
什麼是多重內容傳遞網路 (Multi CDN)？網站停機有哪些原因？
2023/02/06
果核推出資安評級服務，協助企業檢測網路駭客病毒的威脅！
2023/02/06
複合式內容傳遞網路(CDN)平台，打造內外兼具的客製化資安解決方案！
2023/02/06
地表最強的駭客論壇，5分鐘快速分析ML與區塊鏈安全！
2023/02/06
果核數位兩大資安方案助企業保護App安全
2023/02/06
地表最強 駭客講堂 - 開春首發，不聽會後悔的重量級課程
2023/02/06
2021/1/28-1/29 Taipei Game Show台北國際電玩展-B2B ZONE 商務區攤位活動
2023/02/06
果核 2020 聖誕駭樂論壇，剖析 WoW64 惡意利用、進階網路機器人攻擊
2023/02/06
果核數位榮獲BSI 雲端資安獎，擁本地優勢+國際合作，免除 AIoT 時代資安疑慮
2023/02/06
遭到網路駭客DDoS攻擊怎麼辦？要如何重新建立資安防護？
2023/02/06
駭客資安論壇 - 2020/12/5(六) 聖誕駭樂
2023/02/06
重新定義金融加密機制與分享醫療區塊鏈解決方案 - 11/2-11/4 InfoSec Taiwan 2020國際資安大會
2023/02/06
防駭之心不可無 – 建立防護化解危險，勢在必行
2023/02/06
鞏固防禦堡壘，拒絕再當受駭者
2023/02/06
果核聲明
2023/02/06
果核「駭客資安論壇」，揭示特權帳號管理、App 風控的精進之道
2023/02/06
~~線上~~駭客資安論壇將於6/11準時上線
2023/02/06
物聯網隱藏資安風險 果核數位推AI SOC服務
2023/02/06
HyperG 強打 Amazing Thor VDI 方案，為企業提出安全靈活的防疫辦公利器
2023/02/06
在家上班4隱憂！釣魚信件、驗證機制、連線存取恐成為資安破口！
2023/02/06
HyperG 推 Smart Sensing，藉由動態偵測與防禦機制，強力守護 App 安全
2023/02/06
果核數位與 Reblaze 聯手出擊，強力守護企業網站與 App 安全
2023/02/06
2020年資安人亞太資訊安全論壇 - 區塊鏈技術與醫療應用
2023/02/06
2020/2/6-2/7 Taipei Game Show台北國際電玩展攤位活動
2023/02/06
果核數位「聖誕駭樂」資安社群論壇，探索 IR、生物辨識、API 風險三大議題
2023/02/06
【iThome專訪】果核鎖定 OWASP 十大 API 風險，完整佈局檢測、監控與顧問服務
2023/02/06
AISOC服務 - 第一時間為客戶揪出可疑的行為，確保內部網路的安全
2023/02/06
果核結盟 I.X，力推實體金鑰加密、杜絕企業機密外洩
2023/02/06
【數位時代專訪】- 做好「隨時被駭」準備，App資安先驅果核數位：滴水不漏的資安保護過時了
2023/02/06
12/14 資安社群論壇【聖誕駭樂- 駭客退散耶誕禮物】
2023/02/06
果核數位通過108年經濟部工業局資安服務能量登錄
2023/02/06
果核數位資安社群論壇會後報導 - 洞察駭客戰術、增強防禦能力
2023/02/06
VMware攜手AWS 助企業加快數位轉型 - 果核數位為首波在地合作夥伴，共同提供完整的VMware Cloud on AWS技術服務
2023/02/06
5/25(六) 今年首場資安社群論壇 - 駭客過招，實戰分享
2023/02/06
2019年果核數位【共同供應契約採購項目總覽】更新
2023/02/06
【雙平台下被刻板印象所忽略的手機app漏洞】- 2019 亞太資訊安全論壇，您不能不知道的平台漏洞
2023/02/06
果核數位與BaaSid攜手，實現史上最便捷的安全區塊鏈認證應用
2023/02/06
在iOS系統架構下，你的app真的無堅不摧? iThome臺灣資安大會將分享iOS攻擊手法與攻破實戰分享，快上網報名議程!
2023/02/06
TAF國家級認證的實驗室-電檢中心認證appGuard四大功能
2023/02/06
2019/1/24-1/25 Taipei Game Show 台北國際電玩展 - 世貿三館商務區正式登場
2023/02/06
從防堵手遊外掛起家，果核數位攻進金融App資安市場
2023/02/06
iThome專訪: 結合國際視野與戰略思維，將資安能量推向至高境界
2023/02/06
9/20 國際資安威脅與戰略攻防要素- 資安社群論壇
2023/02/06
用AI從Big Data 挖寶掘金！ 研討會即日起熱烈報名中
2023/02/06
【案號:1070201】appGuard加入共同供應契約採購囉!
2023/02/06
果核數位力推appGuard，助保險業牢牢守護App安全
2023/02/06
Radware全系列產品舊換新 : Server Load Balance(Alteon)、IPS Defensepro和Link Load Balance(Linkproof)，即日起開跑!
2023/02/06
果核與全球一級DDOS清洗商Radware攜手合作，提供企業資安完整防護，並提供台灣在地化的第一線服務
2023/02/06
果核數位 SOC 結合 AI 聯防，能加速斬斷駭客攻擊，以子之矛、攻子之盾，反制敵方的 AI 攻擊
2023/02/06
2018 資安社群論壇報名開跑，精采內容你絕對不能錯過阿!
2023/02/06
【橘妹愛玩 TECH專訪】App 上線前的最強把關者：果核貓網讓開發者在雲端完成一切 App 相容性測試！
2023/02/06
賀!106年資安服務廠商評鑑 - 果核數位SOC監控服務獲得特優
2023/02/06
iThome報導【頂尖駭客攻防交流，培養多元防護新觀點】
2023/02/06
Merry Hackmass - 2017年最後一場資安社群論壇，趕快來報名!
2023/02/06
企業有API漏洞怎麼辦？資安團隊靠滲透測試，模擬駭客找到問題！
2023/02/06
資安社群論壇 - 駭客思維 滲透測試，帶您進入駭客的世界
2023/02/06
2017/09/20 (三)「當AI遇到Big Data商機在哪裡?」研討會，席次有限，額滿為止!
2023/02/06
果核資安社群論壇 - 報名開始 將邀請專業講師，探討時下關注的資安議題
2023/02/06
【專訪】善用果核數位appGuard 搶進商機無限行動支付市場
2023/02/06
果核數位：appGuard 要為遊戲、銀行、支付 App 穿上最強悍的資安鋼鐵衣！
2023/02/06
你在明，駭客在暗，防駭時代先行自保，刻不容緩!
2023/02/06
【專訪】資安人-appGuard保護App安全 果核數位協助業者搶攻行動商機
2023/02/06
「網管人」雜誌專訪刊載價格與實際收費狀況有所出入說明
2023/02/06
【專訪】網管人 - 檢測行動應用安全 幫App套金鐘罩鐵布
2023/02/06
【合作客戶】台灣之光-四合願，選用appGuard做為最佳防駭服務<br><br>
2023/02/06
【活動訊息】【突破虛擬+現實的數位商戰】 ~驊宏資通帶您 ~ 翱翔雲端 倘佯數據海！~
2023/02/06
【專訪】保護App安全 果核數位推出appGuard
2023/02/06
【活動訊息】2015/01/15(四)13:30~17:00 2015-HP資安趨勢論壇
2023/02/06
【活動訊息】2015/02/06 (五) HP Fortify 源碼檢測體驗營
2023/02/06