久久久亚洲精品成人,色五月丁香六月欧美综合,午夜影视啪啪免费体验区,噜噜综合亚洲AV中文无码

安全資訊

云上等保部署要點-WEB應(yīng)用防火墻和DDOS高防IP

【時間】2020-09-01

【編輯】Admin

【瀏覽量】

【等級保護QQ交流群】881590869

WEB應(yīng)用防火墻顧名思義就是解決WEB應(yīng)用防護問題的專屬服務(wù)，今天的WEB應(yīng)用已不僅限于網(wǎng)站門戶，APP服務(wù)接口、業(yè)務(wù)系統(tǒng)之間的相互調(diào)用、數(shù)據(jù)共享服務(wù)都在大量的使用WEB通道，當(dāng)下絕大部分的系統(tǒng)交互都發(fā)生在WEB應(yīng)用服務(wù)之上，可以說沒有WEB就沒有今天的互聯(lián)網(wǎng)和移動互聯(lián)網(wǎng)，在結(jié)合現(xiàn)在的信息安全形勢，不管需不需要過“等?！?，WEB應(yīng)用防火墻都是居家旅行的必備服務(wù)。
DDOS高防防御的則是信息安全領(lǐng)域的第一頑疾：DDOS攻擊，DDOS攻擊翻譯過來就是分布式拒絕服務(wù)攻擊，就是攻擊者利用技術(shù)手段調(diào)集大量的攻擊資源同時對受害者的網(wǎng)絡(luò)服務(wù)進行阻塞以阻止其正常對外提供服務(wù)。目前DDOS攻擊和防護所需的成本還處于不對等狀態(tài)，防御者通常需要消耗幾十、上百倍的成本方可成功的防御DDOS攻擊。正是因為這個原因，DDOS高防IP出現(xiàn)在用戶購物車里的頻率可能是所有安全服務(wù)里最低的，不過隨著anycast技術(shù)的出現(xiàn)很可能會扭轉(zhuǎn)這一狀況，另外等級保護相關(guān)要求中也有對網(wǎng)絡(luò)關(guān)鍵位置進行防護的相關(guān)要求，所以DDOS 高防IP在云上等保系統(tǒng)中也有一席之地。
WEB應(yīng)用防火墻和DDOS高防IP經(jīng)常一起出現(xiàn)在WEB應(yīng)用系統(tǒng)的防護解決方案中，今天就讓我們來聊聊阿里云WEB應(yīng)用防火墻和DDOS高防IP的部署吧。
第一個要點，部署模式選擇
WEB應(yīng)用防火墻和DDOS高防IP都有兩種部署模式。
DDOS高防IP支持網(wǎng)站接入和端口接入：
  • 網(wǎng)站接入、一般面向網(wǎng)站提供接入防護，使用CNAME地址重定向方式接入。

  • 端口接入、一般面向游戲應(yīng)用，使用端口映射的方式接入。

WEB應(yīng)用防火墻的接入方式包括：
  • CNAME接入、同DDOS的網(wǎng)站接入，使用CNAME地址重定向接入。

  • 透明接入、在部分地域支持透明接入，服務(wù)器在這些地域的情況下可以選擇透明接入，但透明接入和CNAME接入模式不能共存，只能選擇一種。

假如要保護的對象是WEB應(yīng)用，建議都使用CNAME接入模式。
DDOS高防IP使用端口方式接入WEB應(yīng)用無法使用80端口，而且一個端口只能映射一個應(yīng)用，無法通過域名進行區(qū)分復(fù)用。WEB應(yīng)用防火墻假如使用透明模式則只能保護本賬號及本地域下的服務(wù)器，而WEB應(yīng)用防火墻和DDOS高防IP通過CNAME接入時不僅支持對部署在阿里云上的應(yīng)用進行保護，還支持對部署在云下的應(yīng)用進行防護。
CNAME接入：就是在DNS里將原來系統(tǒng)的域名從A記錄修改為CNAME記錄，記錄值從IP地址修改為一個阿里云智能DNS提供的CNAME地址串，通過這個CNAME地址串，阿里云智能DNS就可以將用戶對域名的請求重新調(diào)度到提供相關(guān)安全服務(wù)的地址上去。
看到這里有人可能會耽心：假如DDOS攻擊者去攻擊阿里云的智能DNS，豈不把所有的服務(wù)都干趴下？打這個主意的應(yīng)該不少，但都想多了。對于這一點，大家盡可放心，因為阿里云的智能DNS服務(wù)使用的是anycast的抗DDOS方案，又有充足的帶寬和阿里云的安全運維團隊的保駕護航。
第二個要點，拓撲結(jié)構(gòu)
這個沒有什么“假如”，一定要把DDOS高防IP部署在WEB應(yīng)用防火墻之前，否則DDOS高防IP就白買了。
WEB應(yīng)用防火墻主要的功能是防御WEB應(yīng)用層攻擊，當(dāng)遇到DDOS攻擊時WEB應(yīng)用防火墻也會被打到無法繼續(xù)提供服務(wù)，DDOS高防IP必須部署在WEB應(yīng)用防火墻之前才能夠有效的攔截DDOS攻擊。
?第三個要點，部署順序
假如是對一個正在運行中的系統(tǒng)進行防護，建議先從DDOS高防IP開始部署。
先配置DDOS高防IP只需要修改一次DNS記錄：
  1. 完成DDOS高防IP的配置，源站地址填服務(wù)器的外網(wǎng)IP，配置完成后將獲得DDOS高防的接入CNAME地址串。

  2. 修改DNS記錄為DDOS高防IP的CNAME記錄，實現(xiàn)DDOS高防IP接入。

  3. 完成WEB應(yīng)用防火墻的配置，WEB應(yīng)用防火墻的源站同樣也是服務(wù)器的外網(wǎng)IP，獲得WEB應(yīng)用防火墻的接入CNAME地址串。

  4. 修改DDOS高防的源站服務(wù)器地址，將服務(wù)器的IP地址替換為WEB應(yīng)用防火墻的CNAME地址，從而實現(xiàn)WEB應(yīng)用防火墻接入。

假如先配置WEB應(yīng)用防火墻就需要修改兩次DNS記錄：
  1. 完成WEB應(yīng)用防火墻的配置，源站填服務(wù)器外網(wǎng)IP，獲得WEB應(yīng)用防火墻的接入CNAME地址串。

  2. 將DNS記錄修改為WEB應(yīng)用防火墻的CNAME記錄以驗證WEB應(yīng)用防火墻是否正常工作。

  3. 完成DDOS高防IP的配置，后端服務(wù)器地址填寫為WEB應(yīng)用防火墻的CNAME記錄，但此時的DNS記錄依然指向的是WEB應(yīng)用防火墻，因此還需要再修改一次DNS記錄。

  4. 將DNS記錄修改為DDOS高防IP的CNAME記錄驗證DDOS高防IP和WEB應(yīng)用防火墻的工作是否正常。

DNS服務(wù)有緩存和過期機制，默認的TTL過期時間一般都是10分鐘，這樣在兩次修改期間假如出現(xiàn)服務(wù)異常要切換回原來的地址一般都需要10分鐘左右，再加上有部分的DNS緩存服務(wù)器不遵守TTL設(shè)定，回切的時間將會更長。
因此在對在線應(yīng)用服務(wù)部署WEB應(yīng)用防火墻和DDOS高防IP時，建議先部署DDOS 高防IP。
第四個要點，CC攻擊的防御
這個也沒有什么“假如”，在同時部署DDOS高防IP和WEB應(yīng)用防火墻的情況下，優(yōu)先使用WEB應(yīng)用防火墻的CC攻擊防御能力。
CC攻擊是一種通過大量消耗應(yīng)用服務(wù)器CPU、內(nèi)存、磁盤處理能力的方式來讓應(yīng)用服務(wù)無法正常對外服務(wù)的一種攻擊方式。
為什么？CC攻擊的名字就說明一切了，CC攻擊全稱Challenge Collapsar，意思是挑戰(zhàn)黑洞，黑洞是當(dāng)年國內(nèi)一個安全廠商推出的抗DDOS產(chǎn)品，在當(dāng)時的公開測試時有攻擊者使用了CC攻擊，CC攻擊成功的繞過了黑洞的防御機制而讓后臺業(yè)務(wù)應(yīng)用無法繼續(xù)提供服務(wù)。
第五個要點，為網(wǎng)站接入預(yù)留端口
DDOS的端口映射模式不能使用80/443端口，但可以使用8080/8443，而我的建議是盡量不要在端口模式下使用這兩個端口。
因為在和WEB應(yīng)用防火墻配合使用時可以通過網(wǎng)站接入的方式來使用8080/8443 端口，但前提是8080/8443端口沒有被映射使用。
第六個要點，網(wǎng)站遷移保護期
當(dāng)把網(wǎng)站在兩個WEB應(yīng)用防火墻實例之間遷移時，出于維護集群穩(wěn)定性的考慮，不能直接將網(wǎng)站從一個實例刪除后直接加入到另一個實例，在添加實例時會收到有關(guān)域名在若干時間的保護期后才能加入的信息，針對這種情況有如下建議：
  • 選一個業(yè)務(wù)維護窗口進行遷移，在遷移期間不提供服務(wù)。

  • 可以通過工單和服務(wù)群申請解除保護期，在保護期被解除后就可以在另一個WEB應(yīng)用防火墻實例添加網(wǎng)站域名。

  • 在切換期間將請求通過DNS接回源站，并祈求老天保佑這個時間不會有人來攻擊。

  • 在切換期間將請求通過DNS接回源站，在源站將請求重定向到另一個臨時域名，并將該域名接入WEB應(yīng)用防火墻進行防護。

    這里必須使用顯式的HTTP重定向，而不能使用CNAME。

以上，就是我能想到的一些DDOS高防IP和WEB應(yīng)用防火墻的部署要點，希望對大家有用。

服務(wù)熱線

138-6598-3726

產(chǎn)品和特性

價格和優(yōu)惠

安徽靈狐網(wǎng)絡(luò)公眾號

微信公眾號

大关县| 天镇县| 华坪县| 眉山市| 保定市| 皮山县| 万荣县| 信丰县| 衡阳县| 嵊泗县|