RDS提供多种攻击防护手段,包括防DDoS攻击、流量清洗、SQL注入检测等。

防DDoS攻击

当用户使用外网连接和访问RDS实例时,可能会遭受DDoS攻击。RDS提供流量清洗和黑洞处理功能,完全由系统自动触发和结束。当RDS安全体系认为用户实例正在遭受DDoS攻击时,会首先启动流量清洗功能,如果流量清洗无法抵御攻击或者攻击达到黑洞阈值,则会进行黑洞处理。

说明 建议用户通过内网访问RDS实例,可以使RDS实例免受DDoS攻击的风险。

流量清洗

只针对外网流入流量进行清洗,处于流量清洗状态的RDS实例可正常访问。

单个RDS实例满足以下任一条件即触发流量清洗:

  • PPS(Package Per Second)达到3万。
  • BPS(Bits Per Second)达到180Mbps。
  • 每秒新建并发连接达到1万。
  • 激活并发连接数达到1万。
  • 非激活并发连接数达到10万。

黑洞处理

只针对外网流入流量进行黑洞处理,处于黑洞状态的RDS实例不可被外网访问,此时应用程序通常也处于不可用状态。黑洞处理是保证RDS整体服务可用性的一种手段。

黑洞触发条件如下:

  • BPS(Bits Per Second)达到2Gbps。
  • 流量清洗无效。

黑洞结束条件如下:

黑洞在2.5小时后自动解除。

检测SQL注入威胁

云安全中心基于第三代SQL注入威胁检测数据智能算法引擎,支持检测RDS的SQL注入威胁,实时识别潜在的数据安全风险。详情请参见SQL注入威胁检测