网络安全原理

TCP/IP协议介绍

TCP/IP协议是当前最流行的互联网协议，没有TCP/IP协议，就没有互联网

网络通信五元组

网络通信五元组：源IP，源端口，协议，目标端口，目标IP

端口的打开需要遵循信息安全最小化的原则

常见的网络安全问题

各种网络攻击

DDoS：拒绝服务式攻击，业务被冲断
CC慢速攻击
SQL注入攻击
网络钓鱼攻击
XSS攻击
暴力密码破解攻击

DDoS攻击

DDoS攻击是什么

DDoS(Distributed Denial of Service) 即分布式拒绝服务式攻击。
攻击主要目的是：让指定目标无法提供正常服务，是最强大，最难预防的攻击之一
近年出现的DRDoS(分布式反射攻击)让DDoS攻击水平迅速提升，互联网安全被网络暴力所威胁。小的流量就可以对目标服务器进行攻击

DDoS攻击原理

TCP的三次握手始终不能成功

谁面临DDoS攻击

DDoS带来的危害

DDoS常见防护措施

通过SLB，隐藏服务器IP
多节点加速：SCDN加速
异常流量清洗
分布式集群防御
防火墙合理配置
专有抗D设备

基础DDoS防护

基础DDoS防护就是DDoS原生防护

DDoS原生防护的主要功能

攻击流量的发现，牵引和自动处理
能够有效抵御所有各类基于网络层、应用层的各种DDoS攻击，包括最新的DNS Query Flood， NTP reply Flood
大数据分析技术实现全自动检测，攻击策略全自动匹配：攻击策略全自动匹配，总体响应时间<2秒，清洗服务可用性99.99%

基础DDoS防护的防护流程

基础DDoS防护的开通方法

自动开通，可保护阿里云机房内所有产品

DDoS原生防护配置

DDoS原生防护有两种配置方式

自动
手动：流量和报文

安全信誉防护联盟

提供DDoS防护上限，分配额外的弹性防护能力

DDoS防护包与抗D流量包

DDoS防护包

DDoS防护包是一款针对云上ECS、SLB、Web应用防火墙、EIP等云产品直接提升防御能力的安全产品

即刻购买，即刻生效。最短1分钟内可完成DDoS防护包的部署。可以直接把防御能力加载到云产品上，不需要更换IP，没有四层端口，七层域名数的限制，免去用户部署和切换IP的烦恼
具备弹性防护能力，遭受大规模攻击时调用当前地域阿里云最大DDoS防护能力全力防护
采用阿里云BGP带宽，只需要一个IP，即可实现多个不同运营商的极速访问
海量清洗带宽，满足活动大促，活动上线，重要业务的安全稳定性保障需求
支持独享IP，同时也提供共享多个IP的防护包，满足多个IP地址都需要提升防御带宽的需求

DDoS防护包适用场景

DDoS防护包功能–解除黑洞

DDoS防护包为已防护的IP提供黑洞解除功能，即用户可以自行对某个处于黑洞状态的防护对象IP进行黑洞接触操作，快速恢复用户的业务服务。黑洞解除次数每个月重置。

独享型防护包：每个IP两次解除机会
共享型防护包：最多可防护100个IP，所以获赠100次解除机会

步骤：管理控制台 -> 防护包 -> 操作栏（解除黑洞） -> 选择处于黑洞状态的防护对象IP -> 解除黑洞

DDoS防护包功能–升级实例

购买DDoS防护包实例后，如果当前防护包提供的安全防护能力无法满足业务需求，可以通过以下两个方式提升用户的安全防护能力

方法1：升级DDoS防护包实例规格

保底防护带宽
弹性防护带宽
共享IP个数

方法2：切换到DDoS高防IP

DDoS防护包计费方式

DDoS防护包费用=保底防护带宽费用+弹性防护流量费用

保底防护带宽费用：根据购买的DDoS防护包规格计费，预付费

弹性防护流量费用：不同类型的防护包的计费方式有所不同，购买购买抗D流量包，抵扣DDoS防护包所产生的弹性防护流量费用

专业版：根据实际使用中超出保底防护带宽所产生的弹性防护流量进行计费。（19年5月停止售卖，可工单申请）
企业版：根据实例全部如方向流量计算弹性防护流量费用，弹性防护能力为全力防护，该地域的无上限全力防护

DDoS防护包–防护举例

抗D流量包

抗D流量包是一款预付费流量消耗产品，用于抵扣DDoS防护包使用过程中超出保底防护带宽所产生的弹性防护流量，让用户的DDoS防护包活动弹性防护能力。当用户账号下没有DDoS防护包产品时，抗D流量包就无法使用。

DDoS防护包与抗D流量包关系

企业版抗D流量包–流量计算

抗D流量包–注意事项

DDoS高防IP

为什么要接入DDoS高防

更强的服务能力
突破设备性能
突破机房带宽瓶颈

高防IP的架构

DDoS高防IP的原理

云盾的DDoS高防是在阿里云机房外面进行防护！

DDoS高防IP的功能

高防IP接入流程

高防IP可隐藏源站IP

高防IP系统组成

高防IP内置WAF模块，可保护七层应用

高防IP特点

防护海量DDoS攻击
源站IP隐藏
专业团队运营
弹性防护
高可靠，高可用的服务

DDoS高防IP开通方法

DDoS高防IP：阿里云/非阿里云

DDoS高防IP可以保护

阿里云机房内所有产品
非阿里计费的站点

DDoS分类

根据要接入DDoS高防的云服务器所处地域不同，DDoS高防分为两种

DDoS高防（新BGP）: ECS指中国内地
DDoS高防（国际）

DDoS高防抗D包

DDoS高防抗D包是面向DDoS高防（新BGP）用户提供的一项增值服务，帮助减少DDoS攻击峰值大于保底带宽时产生的弹性防护成本。

新BGP高防概念及优势

新BGP高防IP服务采用中国大陆地域独有的T级八线BGP带宽资源，可解决超大流量DDoS攻击。相比静态ICD高防IP服务，新BGP高防IP天然具有灾备能力、线路更稳定、访问速度更快。有如下优势：

拥有中国大陆地域最大的BGP带宽资源（最高可防护带宽可达1.5T），再也不用担心超大流量攻击
运用中国大陆地域最优质的BGP带宽资源，BGP线路覆盖电信，联通，移动，教育网等八大运营商线路（平均访问时延仅20ms）左右
只需要一个IP，即可实现中国大陆地域内不同运营商线路的快速访问和DDoS高防需求

新BGP高防适用场景

新BGP高防新增功能

新BGP高防计费方式

新BGP产生费用=基础防护（按月-预付费）+ 弹性付费（按天-后付费）

DDoS高防（国际）

DDoS高防（国际）

针对用户业务服务器部署在中国大陆以外地域的场景，阿里云提供了云盾DDoS高防（国际）付费增值服务，帮助缓解DDoS攻击风险

通过为用户部署在海外地区的服务器配置DDoS高防（国际）服务，将服务器遭受的攻击流量牵引至DDoS高防（国际）的独享IP，通过全球级分布式近源清洗的方式清洗攻击流量，并将过滤后的正常流量返回至源站服务器，从而保障业务稳定运行

DDoS高防（国际）产品特性

DDoS高防（国际）服务具有以下4个特性

全球近源清洗
无上限全力防护
独享IP资源
安全防护报表

DDoS高防（国际）应用场景

场景一：业务服务器部署在非中国大陆地区，且主要服务于非中国大陆地区的用户。推荐方案：

购买DDoS高防（国际）服务，根据DDoS高防（国际）快速入门将业务接入高防进行防护

场景二：业务服务器部署在非中国大陆地区，主要服务于中国大陆地区的用户。推荐方案：

方案1：将业务服务器迁移至主要用户所在的中国大陆地区，然后购买DDoS高防IP服务或者BGP高防IP服务。
方案2：如果业务服务器暂时无法迁移至中国大陆地区，开通DDoS高防（国际）加速线路。开通后，阿里云技术人员将协助用户完成DDoS高防智能切换方案配置，实现在无DDoS攻击时通过加速线路保障中国大陆地区用户访问顺畅的需求

场景三：业务服务器部署在非中国大陆地区，同时服务于中国大陆地区和非中国大陆地区的用户。推荐方案

方案1：建议分区域部署业务服务器，通过购买DDoS高防IP服务或者BGP高防IP服务和DDoS高防（国际）服务分别保护中国大陆地区和非中国大陆地区的业务，缓解DDoS攻击
方案2：如果业务服务器暂时无法迁移至中国大陆地区，开通DDoS高防（国际）加速线路。开通后，阿里云技术人员将协助用户完成DDoS高防智能切换方案配置，实现在无DDoS攻击时通过加速线路保障中国大陆地区用户访问顺畅的需求

DDoS高防（国际）套餐版本

DDoS高防（国际）服务提供保险版和无忧版两种套餐