ESA proporciona los paneles DDoS Analytics y Attack Details para monitorear el estado del servicio, investigar ataques y hacer fine-tune de las directivas de mitigación. Consulte las estadísticas de los últimos 30 días sobre ataques en la capa de red y en la capa de aplicación.
Esta función está disponible únicamente para los suscriptores de Enterprise.
Panel de análisis
La pestaña DDoS Analytics muestra los patrones de tráfico para ayudarle a distinguir el uso legítimo de la actividad maliciosa. Filtre por rango de tiempo, hasta un máximo de 30 días.
Métricas de la capa de red (L3/L4)
Estas métricas identifican ataques volumétricos que saturan la capacidad de la red.
Ancho de banda (bits por segundo, bps): mide el volumen de tráfico del ataque. Un valor alto de bps indica un ataque de inundación que consume el ancho de banda disponible de la red. Cuando el tráfico del ataque supera el 95 % de la capacidad de ancho de banda, se interrumpe la entrega del tráfico legítimo.
Tasa de paquetes (paquetes por segundo, pps): mide el volumen de paquetes. Un valor alto de pps, incluso con un ancho de banda bajo (> 1 M), puede indicar un ataque que agota la capacidad de procesamiento del hardware del servidor y de la red.
El análisis conjunto de ambas métricas revela la firma del ataque. Las inundaciones de paquetes grandes muestran un bps alto y un pps bajo; las inundaciones de conexiones muestran un bps bajo y un pps alto. Si falta alguna de estas métricas, las directivas de mitigación podrían fallar. Sin el monitoreo de pps, los ataques de alta intensidad y bajo ancho de banda que agotan los recursos de la pila de protocolos pasan desapercibidos.
Para consultar los datos de bps y pps:
En la consola de ESA, elija Websites y, en la columna Website, haga clic en el sitio web de destino.
En el panel de navegación izquierdo, elija .
En la página DDoS, haga clic en la pestaña DDoS Analytics y, a continuación, en la pestaña Network Layer (L3/4).
En la sección de filtro de tiempo, seleccione un rango de tiempo. La consola muestra el tráfico detallado de Network Layer (L3/4) correspondiente al rango seleccionado. ESA también proporciona estadísticas de Peak Attack Bandwidth y Peak Attack Packet Rate dentro de ese rango.
Métricas de la capa de aplicación (L7)
Consultas por segundo (QPS): cantidad de solicitudes HTTP/HTTPS recibidas por segundo. QPS es la métrica clave para detectar ataques de capa 7. A diferencia de los ataques en la capa de red, que elevan el bps o el pps, los ataques de capa 7 imitan a los usuarios normales y se manifiestan como un aumento repentino de QPS. Este comportamiento indica una inundación HTTP que agota la CPU y la memoria.
Para consultar los datos de QPS:
En la consola de ESA, elija Websites y, en la columna Website, haga clic en el sitio web de destino.
En el panel de navegación izquierdo, elija .
En la página DDoS, haga clic en la pestaña DDoS Analytics y, a continuación, en la pestaña Application Layer (L7).
En la sección de filtro de tiempo, seleccione un rango de tiempo. La consola muestra el tráfico detallado de Application Layer (L7) correspondiente al rango seleccionado. ESA también proporciona estadísticas de Peak Traffic During HTTP Traffic Scrubbing y Peak Traffic During HTTPS Traffic Scrubbing dentro de ese rango.
Eventos de limpieza de tráfico
Durante un ataque DDoS a gran escala, ESA ejecuta la limpieza de tráfico. Este proceso de filtrado en tiempo real separa el tráfico malicioso de las solicitudes legítimas y descarta los paquetes de ataque. Solo el tráfico limpio llega a su servidor de origen. Los distintos tipos de ataque activan la limpieza en diferentes capas:
Eventos de limpieza en la capa de red: se activan cuando un ataque alcanza 5 Gbps o más.
Eventos de limpieza en la capa de aplicación: ESA utiliza aprendizaje profundo sobre las líneas base de QPS de acceso al dominio y los códigos de estado del servidor de origen para detectar anomalías. Después, limpia el tráfico de forma proporcional a la escala de su servicio.
Para consultar los registros de eventos de limpieza:
En la consola de ESA, elija Websites y, en la columna Website, haga clic en el sitio web de destino.
En el panel de navegación izquierdo, elija .
En la página DDoS, haga clic en la pestaña DDoS Analytics. Según lo requiera, haga clic en la pestaña Network Layer (L3/4) o Application Layer (L7). Desplácese hasta la parte inferior de la página para consultar los detalles de los eventos de limpieza.
Detalles del ataque
La pestaña Attack Details registra todos los ataques DDoS detectados y mitigados. Filtre por tiempo y tipo de ataque para investigar incidentes específicos. Utilice esta vista para:
Identificar tendencias en los tipos de ataque dirigidos a su sitio web.
Revisar las magnitudes máximas de los ataques.
Correlacionar los ataques con otros incidentes de infraestructura.
Para consultar los detalles de los ataques:
En la consola de ESA, elija Websites y, en la columna Website, haga clic en el sitio web de destino.
En el panel de navegación izquierdo, elija .
En la página DDoS, haga clic en la pestaña Attack Details. En las listas desplegables, seleccione un tipo de ataque y un rango de tiempo para consultar Volumetric Attack Peak, Web Resource Exhaustion Attack, Connection Flood Attack Peak y los detalles de los eventos de ataque.