DDoS防护 AAD-华为云

DDOS防护 AAD-使用WAF和DDoS高防实现域名防护:应用场景

应用场景华为云 Web应用防火墙（WAF）通过对HTTP(S)请求进行检测，识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击，保护Web服务安全稳定。 DDoS高防可以为域名提供连续性的有力保障，当服务器遭受大流量DDoS攻击时，DDoS高防可以保护用户业务持续可用。通过WAF和DDoS高防双重防护，可以同时防御Web应用攻击和流量攻击，大幅提升域名的安全性和稳定性。本实践建立在域名已接入了WAF，如何使网站流量同时经过DDoS高防和WAF进行防护，提升网站全面防护能力。域名接入WAF的方法请参考将网站接入WAF防护。

DDOS防护 AAD DDoS高防最佳实践

DDoS防护 AAD-与其他云服务的关系

与其他云服务的关系 DDoS防护AAD可以为E CS 、ELB、WAF、EIP等服务的公网IP资源提供防护能力。此外，DDoS防护AAD与其他云服务之间还存在以下关系。表1 与其他云服务的关系服务名称与其他服务的关系主要交互功能云审计（ CTS ）开通云审计服务后，CTS会记录DDoS防护相关的操作事件，方便用户日后的查询、审计和回溯。支持云审计的关键操作（DDoS原生基础防护）支持云审计的关键操作（DDoS原生高级防护）支持云审计的关键操作（DDoS高防）消息通知（ SMN ）消息通知服务（Simple Message Notification，简称SMN）提供消息通知功能。DDoS防护开启告警通知后，如果IP地址受到DDoS攻击时用户会收到短信或邮件的提醒信息。开启告警通知（DDoS原生基础防护）开启告警通知（DDoS原生高级防护）开启告警通知（DDoS高防）云日志（LTS）将攻击日志记录到云日志服务（Log Tank Service，简称LTS）中，通过LTS记录DDoS防护日志，可以高效地进行实时决策分析、设备运维管理以及业务趋势分析。配置Anti-DDoS日志配置DDoS原生高级防护日志配置DDoS高防日志云监控（ CES ）云监控服务可以监控DDoS防护相关的指标，用户可以通过指标及时了解防护状况，并通过这些指标设置防护策略。设置监控告警规则（DDoS原生高级防护）设置监控告警规则（DDoS高防）设置事件告警通知（DDoS原生基础防护）设置事件告警通知（DDoS原生高级防护）设置事件告警通知（DDoS高防）统一身份认证（ IAM ）统一身份认证服务（Identity and Access Management，简称IAM）为DDoS防护提供权限管理的功能，拥有对应权限的用户才能使用DDoS防护服务。权限管理（DDoS原生基础防护）权限管理（DDoS原生高级防护）权限管理（DDoS高防）企业管理企业管理可以根据组织架构规划企业项目，将企业分布在不同区域的资源按照企业项目进行统一管理，同时可以为每个企业项目设置拥有不同权限的用户组。 DDoS防护服务支持企业管理，您可以将DDoS防护服务上的资源按照企业项目进行管理，并设置每个企业项目的用户权限。购买实例（DDoS原生高级防护）购买实例（DDoS高防）

DDoS防护 AAD

DDoS防护 AAD-产品优势

产品优势 DDoS高防为软件高防服务，与成本相对较高的传统硬件高防相比，业务接入DDoS高防后即可防护，且可以查看DDoS高防的防护日志，了解当前业务的网络安全状态。 DDoS高防可以防护海量DDoS攻击，具备精准、弹性、高可靠、高可用等优势。海量带宽 15T以上DDoS高防总体防御能力，单IP最高1000G防御能力，抵御各类网络层、应用层的DDoS攻击。高可用服务全自动检测和攻击策略匹配，实时防护；业务流量采用集群分发，性能高，时延低，稳定性好。弹性防护通过基础带宽+弹性带宽的购买方式，DDoS防护阈值支持弹性调整，可随时升级更高级别的防护。专业运营团队 7*24小时运营团队随时应对；专业的运营人员随时解答您的疑问，为您的业务保驾护航。父主题： DDoS高防

DDoS防护 AAD

DDoS防护 AAD-什么是DDoS高防:DDoS高防工作原理

DDoS高防工作原理 DDoS高防服务通过高防IP代理源站IP对外提供服务，将所有的公网流量都引流至高防IP，进而隐藏源站，避免源站（用户业务）遭受大流量DDoS攻击。DDoS高防引流和转发原理示意图如下：客户访问源站（用户业务）的客户。源站IP 源站服务器所使用的公网IP，也是被防护的IP地址，应避免对外暴露（泄露）。高防IP 与源站IP相对应，用于代替源站IP来面向客户提供服务，使源站IP不直接暴露出去。回源IP 是高防机房代替客户去和源站服务器通信的若干个IP地址（高防机房会将客户的IP随机转换成某个回源IP，并由这个回源IP代替客户IP去和源站服务器通信）。 DDoS高防为用户提供DDoS防护服务，可以防护SYN Flood、UDP Flood、ACK Flood、ICMP Flood、DNS Query Flood、NTP reply Flood、CC攻击等各类网络层、应用层的DDoS攻击。

DDoS防护 AAD

DDoS防护 AAD-遭受DDoS攻击后如何向网监报案？:华为云能提供什么相关证据？

华为云能提供什么相关证据？您的报案在网监部门立案后，华为云将配合网监部门提供以下协助：华为云会配合网监部门，向网监负责人提供您在华为云平台上的业务的流量日志、遭受攻击信息等。由于相关数据将作为法律证据，因此无法直接提供给您。您可以在华为云管理控制台中自行查看攻击流量的相关信息。华为云不能对流量日志和攻击信息等进行分析，直接给出谁是攻击者的结论。由于华为云不是法官，无法判定谁有罪；不具有执法权，不能进行立案调查；华为云只能作为证据的提供者和证人。华为云会及时响应网监部门的协助调查要求，配合开展工作。建议您在遭受安全攻击时，参考当地网监部门的立案调查标准，积极请求网警进行立案调查。自主查看攻击流量的相关信息：您可以在华为云管理控制台查看流量、攻击事件等。

DDoS防护 AAD

DDoS防护 AAD-产品优势

产品优势 DDoS原生高级防护为软件DDoS防护服务，与成本相对较高的传统硬件防护相比，可一键提升华为云ECS、ELB、WAF、EIP等云服务的DDoS防御能力，具有以下优势：快速接入无需配置转发规则，快速接入服务即可直接提升华为云上EIP的防护能力。 DDoS原生高级防护-全力防高级版只能防护专属EIP。弹性防护能力遭受大规模攻击时自动调用当前区域华为云最大DDoS防护能力提供全力防护。海量清洗带宽拥有多线BGP防护带宽，轻松抵御DDoS攻击，可以满足活动大促、活动上线等重要业务的安全稳定性保障需求。卓越清洗能力全自动检测和攻击策略匹配，实时防护；业务流量采用集群分发，性能高，时延低，稳定性好。丰富的防护报表提供多维度统计报表，通过查看流量信息，了解当前网络安全状态。父主题： DDoS原生高级防护

DDoS防护 AAD

DDoS防护 AAD-什么是DDoS原生基础防护:功能特性

功能特性 Anti-DDoS通过对互联网访问公网IP的业务流量进行实时监测，及时发现异常DDoS攻击流量。在不影响正常业务的前提下，根据用户配置的防护策略，清洗掉攻击流量。同时，Anti-DDoS为用户生成监控报表，清晰展示网络流量的安全状况。 Anti-DDoS可以帮助用户缓解以下攻击： Web服务器类攻击 SYN Flood攻击。游戏类攻击 UDP（User Datagram Protocol ） Flood攻击、SYN Flood、TCP（Transmission Control Protocol ）类攻击、分片攻击等。 Anti-DDoS还提供以下功能：为单个公网IP地址提供监控记录，包括当前防护状态、当前防护配置参数、24小时内流量情况、24小时内异常事件。为用户所有进行防护的公网IP地址提供拦截报告，支持查询攻击统计数据，包括清洗次数、清洗流量，以及公网IP被攻击次数Top10和共拦截攻击次数等。

DDoS防护 AAD

DDoS防护 AAD-DDoS原生基础防护:Anti-DDoS权限

Anti-DDoS权限默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 Anti-DDoS部署时通过物理区域划分，为项目级服务，授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问Anti-DDoS时，需要先切换至授权区域。如表1所示，包括了Anti-DDoS的所有系统角色。由于云上各服务之间存在业务交互关系，Anti-DDoS服务的角色依赖其他服务的角色实现功能。因此给用户授予Anti-DDoS服务的角色时，需要同时授予依赖的角色，Anti-DDoS服务的权限才能生效。表1 Anti-DDoS系统角色策略名称描述依赖关系 Anti-DDoS Administrator Anti-DDoS服务的管理员权限。依赖Tenant Guest角色。 Tenant Guest：全局级角色，在全局项目中勾选。 Anti-DDoS FullAccess Anti-DDoS流量清洗服务所有权限 - Anti-DDoS ReadOnlyAccess Anti-DDoS流量清洗服务只读权限 -

DDoS防护 AAD

DDoS防护 AAD-什么是DDoS攻击

什么是DDoS攻击拒绝服务（Denial of Service，简称DoS）攻击也称洪水攻击，是一种网络攻击手法，其目的在于使目标电脑的网络或系统资源耗尽，服务暂时中断或停止，导致合法用户不能够访问正常网络服务的行为。当攻击者使用网络上多个被攻陷的电脑作为攻击机器向特定的目标发动DoS攻击时，称为分布式拒绝服务攻击（Distributed Denial of Service Attack，简称DDoS）。常见DDoS攻击类型如表1所示。表1 常见DDoS攻击类型攻击类型说明举例网络层攻击通过大流量拥塞被攻击者的网络带宽，导致被攻击者的业务无法正常响应客户访问。 NTP Flood攻击。传输层攻击通过占用服务器的连接池资源，达到拒绝服务的目的。 SYN Flood攻击、ACK Flood攻击、ICMP Flood攻击。会话层攻击通过占用服务器的SSL会话资源，达到拒绝服务的目的。 SSL连接攻击。应用层攻击通过占用服务器的应用处理资源，极大消耗服务器处理性能，达到拒绝服务的目的。 HTTP Get Flood攻击、HTTP Post Flood攻击。父主题：了解DDoS攻击

DDoS防护 AAD

DDoS防护 AAD-什么是DDoS原生基础防护:什么是DDoS原生基础防护？

什么是DDoS原生基础防护？ DDoS原生基础防护（Anti-DDoS流量清洗）服务（以下简称Anti-DDoS）免费为华为云弹性公网IP（Elastic IP，简称EIP）提供网络层和应用层的DDoS攻击防护（如泛洪流量型攻击防护、资源消耗型攻击防护），并提供攻击拦截实时告警，有效提升用户带宽利用率，保障业务稳定可靠。 DDoS原生基础防护暂不支持GEIP、GA类型的公网IP的攻击告警通知和防护策略定制。

DDoS防护 AAD

DDoS防护 AAD-约束与限制:防护配额限制

防护配额限制 DDoS原生高级防护标准版：每个实例支持防护1个EIP，防护10次，IP支持更换5次，业务带宽100Mbps。全力防基础版：每个实例最大支持防护500个全动态BGP EIP，业务带宽最大支持20000Mbps。全力防高级版：每个实例最大支持防护500个DDoS防护专属EIP，业务带宽最大支持10000Mbps。原生防护2.0：中国大陆每个实例最大支持防护1000个EIP，业务带宽最大支持20000Mbps（也可按需计费）；中国大陆外每个实例最大支持防护500个EIP，业务带宽最大支持10000Mbps。 DDoS高防 DDoS高防防护区域为中国大陆：域名接入模式下每个实例最大支持防护200个域名，业务带宽最大支持20000Mbps，最大防护带宽1800Gbps；IP接入模式下每个实例最大支持500个转发规则，最大防护带宽1800Gbps，业务带宽最大支持20000Mbps。防护区域为中国大陆外：域名接入模式下每个实例最大支持防护200个域名，业务带宽最大支持20000Mbps；IP接入模式下每个实例最大支持200个转发规则，业务带宽最大支持20000Mbps。 DDoS高防国际版：每个实例最大支持防护50个域名和50个转发规则，业务带宽最大支持5000Mbps。 DDoS调度中心：每个调度规则支持10个IP调度，每个用户最大支持500个调度规则。 DDoS解封中心：最大支持3Gbps带宽的业务，每月最大支持100次解封配额（每天分配4个），购买配额后不能升级规格，不能重复购买。

DDoS防护 AAD

DDoS防护 AAD-约束与限制:防护对象限制

防护对象限制子服务服务版本防护对象防护区域 DDoS原生基础防护（Anti-DDoS）免费使用支持防护华为云EIP。 EIP所在区域。 DDoS原生高级防护标准版支持防护华为云EIP。云资源所在区域，不支持多区域（Region）防护。全力防基础版支持防护华为云全动态BGP EIP。云资源所在区域，不支持多区域（Region）防护。全力防高级版支持防护华为云DDoS防护专属EIP。云资源所在区域，不支持多区域（Region）防护。原生防护2.0 防护区域为中国大陆：支持防护华为云全动态BGP EIP和DDoS防护专属EIP。防护区域为中国大陆外：支持防护华为云优选BGP EIP和DDoS防护专属EIP。防护区域为中国大陆：支持多区域（Region）防护。防护区域为中国大陆外：当前仅支持香港、新加坡。 DDoS高防 DDoS高防支持防护域名和独享高防IP。无区域限制。 DDoS高防国际版支持防护域名。无区域限制。

DDoS防护 AAD

DDoS防护 AAD-约束与限制:黑洞解封限制

黑洞解封限制黑洞是指服务器（云主机）流量超出基础防御阈值时，华为云将屏蔽服务器（云主机）的外网访问。对进入封堵状态的防护IP，您可以使用自助解封功能提前解封黑洞，具体解封方法请参考自助解封封堵IP。对于同一防护IP，当日首次解封时间必须大于封堵时间30分钟以上才能解封。解封时间=2（n-1）*30分钟（n表示解封次数）。对于同一防护IP，如果上次解封时间和本次封堵时间间隔小于30分钟，则本次解封时间的间隔=2n*30分钟（n表示解封次数）。如果您在30分钟内解封过其他任一IP，即使满足以上条件，也不能对该IP进行解封。 DDoS防护会根据风控自动调整自助解封次数和间隔时长。仅支持100次/月解封配额，每天分配4个配额。

DDoS防护 AAD

DDoS防护 AAD-审计与日志

审计与日志云审计服务（Cloud Trace Service，以下简称CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 CTS可记录的DDoS防护操作列表详见开通云审计服务中的“云审计服务支持的DDoS防护操作列表”。用户开通云审计服务并创建和配置追踪器后，CTS开始记录操作事件用于审计，开通方法参见CTS快速入门。开通云审计服务后，可查看DDoS防护的云审计日志，云审计服务保存最近7天的操作日志。 CTS支持配置关键操作通知。用户可将与DDoS相关的高危敏感操作，作为关键操作加入到CTS的实时监控列表中进行监控跟踪。当用户使用DDoS服务时，如果触发了监控列表中的关键操作，那么CTS会在记录操作日志的同时，向相关订阅者实时发送通知。父主题：安全

DDoS防护 AAD

DDoS防护 AAD-DDoS高防:AAD权限

AAD权限默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 AAD部署时不区分物理区域，为全局级服务。授权时，在全局级服务中设置权限，访问AAD时，不需要切换区域。根据授权精细程度分为角色和策略。角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对AAD服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，AAD支持的授权项请参见AAD权限及授权项。如表1所示，包括了AAD的所有系统角色。表1 AAD系统角色系统角色/策略名称描述类别依赖关系 CAD Administrator DDoS高防服务的管理员权限。系统角色进行付费操作（例如，购买DDoS高防实例、升级规格）时需要同时具有CAD Administrator和BSS Administrator角色，或具有Tenant Administrator角色。 BSS Administrator：费用中心、资源中心、账号中心的所有执行权限。项目级角色，在同项目中勾选。 Tenant Administrator：除统一身份认证服务外，其他所有服务的所有执行权限。须知： CAD Administrator系统角色即将下线，为了确保正常使用AAD，建议您尽快授予用户AAD FullAccess或AAD ReadOnlyAccess系统策略。 AAD FullAccess DDoS高防服务所有权限。系统策略进行付费操作（例如，购买DDoS高防实例、升级规格）时需要同时具有AAD FullAccess和BSS Administrator角色，或具有Tenant Administrator角色。 BSS Administrator：费用中心、资源中心、账号中心的所有执行权限。项目级角色，在同项目中勾选。 Tenant Administrator：除统一身份认证服务外，其他所有服务的所有执行权限。 AAD ReadOnlyAccess DDoS高防服务只读权限，拥有该权限的用户仅能查看DDoS高防。系统策略无。

DDoS防护 AAD

云服务器内容精选

DDoS防护 AAD

7*24

备案

专业服务

退订

建议反馈

售前咨询热线