Завершить работу экземпляра EC2 при DDoS-атаке, затем запустить новый экземпляр
Я планирую перенести свой веб-сайт и API на EC2 на Amazon. Если один из моих экземпляров EC2 должен был подвергнуться DDoS-атаке, могу ли я завершить экземпляр , а затем запустить новый экземпляр ] и обновить мои DNS-записи CloudFlare на новый IP-адрес экземпляра EC2 , чтобы предотвратить DDoS-атаку? У меня есть AMI для моего веб-сайта и API, созданный из экземпляра EC2 , поэтому я могу легко запустить новый экземпляр и подготовить новый сервер к работе примерно через 5 минут. Разрешит ли это Amazon?
Bạn nên đọc Báo cáo chính thức về AWS DDOS .
Một vài ý tưởng:
- Nếu bạn nhận được cuộc tấn công DDOS, hãy bật CloudFlare "I'm Under Tính năng tấn công ”. Điều đó sẽ giúp giảm nhẹ cuộc tấn công. Tất nhiên, bạn phải tường lửa cho phiên bản của mình để chỉ các IP CloudFlare mới có thể tiếp cận cơ sở hạ tầng của bạn. Chỉ riêng điều này có lẽ đã đủ để giảm thiểu một cuộc tấn công DDOS.
- Đặt ELB (hoặc ALB) trước (các) phiên bản của bạn. Nó cung cấp AWS Shield, giúp bạn bảo vệ DDOS hợp lý. Tôi tự hỏi liệu các IP CloudFlare có được coi là tấn công trang web của bạn hay không, vì một số lượng tương đối nhỏ (tôi đoán là hàng trăm IPS) sẽ gửi tất cả lưu lượng truy cập đến phiên bản của bạn. Điều này có thể cắt đứt lưu lượng truy cập hợp pháp.
- AWS WAF cung cấp khả năng bảo vệ DDOS bổ sung. Không chắc bạn cũng muốn sử dụng nó với CloudFlare.
- Nếu vẫn thất bại và bạn cần thay đổi IP thì bạn không cần phiên bản mới. Chỉ cần tách và phân bổ IP đàn hồi của bạn, phân bổ và gắn một IP đàn hồi mới. Có thể có một số cấu hình được yêu cầu ở cấp hệ điều hành. Tuy nhiên, đây nên là phương sách cuối cùng vì sẽ mất thời gian để tất cả khách hàng của bạn có được IP mới.
Tôi đoán là bạn có thể, nhưng thành thật mà nói thì có vẻ là quá mức cần thiết. Tại sao không sử dụng tính năng Throttling của API Gateway?
Để ngăn API của bạn không bị quá nhiều yêu cầu lấn át, Amazon API Gateway điều chỉnh các yêu cầu đối với API của bạn bằng cách sử dụng thuật toán nhóm mã thông báo, trong đó mã thông báo được tính cho một yêu cầu. Cụ thể, API Gateway đặt giới hạn về tốc độ ở trạng thái ổn định và một loạt các yêu cầu gửi đối với tất cả các API trong tài khoản của bạn. Trong thuật toán nhóm mã thông báo, cụm là kích thước nhóm tối đa.
Cũng đọc phần này: https://aws.amazon.com/answers/networking/aws-ddos-attack-mitigation/