Anti-DDoS:Politique de protection IP

Étape 1 : Créer les informations de base

1. Accédez à la page Paramètres d'atténuation de la console Traffic Security.

2. Cliquez sur Create Policy. Dans la boîte de dialogue qui s'affiche, saisissez un Policy Name, puis cliquez sur OK.

3. Une fois la politique créée, cliquez sur OK dans la boîte de dialogue The policy is created. pour accéder à la page Create Rule.

   Remarque

   Vous pouvez également rechercher la politique nouvellement créée dans la liste des politiques et cliquer sur Modify Mitigation Policy pour accéder au panneau de configuration des règles.

Étape 2 : Configurer les règles d'atténuation

Sur la page Create Rule, configurez les règles d'atténuation suivantes.

ICMP Blocking

Supprime le trafic ICMP pendant le nettoyage pour filtrer les attaques ICMP et réduire le risque de sondage du serveur.

• Scénario d'application : S'applique pendant les attaques pour les ressources cloud standard. Toujours actif pour les ressources cloud améliorées.

• Effet de la protection :

  • Lorsque le blocage ICMP est activé, les commandes ping ne reçoivent aucune réponse.

    Avertissement

    Désactivez le blocage ICMP avant d'exécuter des diagnostics réseau. Sinon, la commande ping ne fonctionnera pas.

  • Le blocage ICMP s'applique également aux adresses IP figurant sur la liste blanche. Le trafic ICMP provenant des adresses IP de la liste blanche est supprimé.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, recherchez la section ICMP Blocking.

  2. Dans la section Status, activez ou désactivez l'interrupteur. Activez cette règle si votre activité n'utilise pas le protocole ICMP.

Blacklist and Whitelist

• Scénario d'application : S'applique pendant les attaques pour les ressources cloud standard. Toujours actif pour les ressources cloud améliorées.

• Effet de la protection : Configure des règles pour supprimer directement ou autoriser le trafic provenant d'adresses IP source spécifiées.

  Important

  Si le trafic autorisé par la liste blanche est trop important, ce trafic autorisé peut toujours déclencher la politique de limitation du débit par adresse IP de destination par défaut d'Anti-DDoS Native en raison des spécifications des ressources cloud et des garanties de la plateforme cloud.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, recherchez la section Blacklist and Whitelist et cliquez sur Settings.

  2. Sélectionnez Blacklist ou Whitelist, puis effectuez la configuration comme suit.

     Blacklist

     1. Définissez la durée d'expiration (uniquement pour Blacklist) : Vous devez définir une durée d'expiration lors de l'ajout d'une liste noire. Ce paramètre s'applique à toutes les adresses IP figurant dans la liste noire.

        1. Dans l'onglet Blacklist, cliquez sur Validity Period Setting.

        2. Dans la section Validity Period Setting de la boîte de dialogue, définissez la durée d'expiration en fonction des besoins de votre activité. Vous pouvez sélectionner Custom (de 5 à 43 200 minutes), Permanent, 30 minutes ou d'autres périodes.

     2. Ajoutez des adresses IP :

        1. Cliquez sur Add. La boîte de dialogue de configuration Blacklist Configuration s'affiche.

        2. Dans la boîte de dialogue de configuration, saisissez les adresses IP de la liste noire. Séparez plusieurs adresses par des espaces ou des sauts de ligne.

           Remarque

           Vous pouvez ajouter manuellement jusqu'à 2 000 adresses IP à la liste noire.

     Whitelist

     1. Cliquez sur Add. La boîte de dialogue de configuration Whitelist Configuration s'affiche.

     2. Dans la boîte de dialogue de configuration, saisissez les adresses IP de la liste d'autorisation. Séparez plusieurs adresses par des espaces ou des sauts de ligne.

        Remarque

        Vous pouvez ajouter manuellement jusqu'à 2 000 adresses IP à la liste d'autorisation.

Location Blacklist

Bloque les demandes d'accès en fonction des régions géographiques.

• Scénario applicable : Prend effet lors des attaques pour les ressources cloud standard. Toujours actif pour les ressources cloud améliorées.

• Effet de la protection : Le trafic provenant des régions bloquées vers l'IP de destination est rejeté. Blocage par région ou par pays.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, repérez la section Location Blacklist.

  2. Dans la liste de sélection des régions, choisissez les régions ou les pays à bloquer, puis cliquez sur OK.

     Remarque

     Bloquez toutes les régions qui ne génèrent pas de trafic légitime pour votre activité.

Port Blocking

Configure des règles de filtrage des ports source ou de destination pour les protocoles UDP ou TCP.

• Scénario applicable : Prend effet lors des attaques pour les ressources cloud standard. Toujours actif pour les ressources cloud améliorées.

• Effet de la protection : Rejette le trafic provenant des ports spécifiés du protocole. Utilisez cette option pour filtrer les attaques par réflexion UDP.

• Suggestions de configuration :

  • Si vos ressources n'utilisent que le trafic TCP, bloquez tous les ports source UDP.

    Remarque

    Ajustez la politique si vous ajoutez des services UDP ultérieurement.

  • Si vos ressources utilisent le trafic UDP, bloquez les ports source courants des attaques par réflexion UDP : 1-52, 54-161, 389, 1900 et 11211.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, cliquez sur Settings dans la section Port Blocking.

  2. Sur la page Configure Source Port Blocking, cliquez sur Add Port.

  3. Dans la boîte de dialogue Add Port, effectuez la configuration comme suit et cliquez sur OK pour enregistrer la règle.

     Remarque

     Prend en charge jusqu'à 8 règles.

     • Protocol : Sélectionnez le type de protocole : TCP ou UDP.

     • Source Port Range, Destination Port Range : Définissez la plage de ports source et la plage de ports de destination.

     • Action : Seule l'option Discard est prise en charge.

Source Rate Limiting

Applique une limitation du débit aux adresses IP source dont la fréquence d'accès dépasse le seuil.

• Scénario applicable : Pris en charge uniquement par les ressources cloud améliorées. Toujours actif.

• Effet de la protection : Les IP source qui dépassent le seuil sont ajoutées à la liste noire et tout leur trafic est rejeté.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, cliquez sur Settings dans la section Source Rate Limiting.

  2. Sur le panneau Configure Source Rate Limiting, activez l'interrupteur de dimension de limitation du débit (Source PPS, Source Bandwidth, PPS of Source SYN Packets ou Bandwidth of Source SYN Packets), puis saisissez le seuil de limitation du débit.

  3. (Facultatif) Activez la fonction d'ajout automatique à la liste noire : Sélectionnez If a source IP address triggers rate limiting five times within 60 seconds, the IP address is added to the blacklist.. Les IP qui dépassent la limite de débit 5 fois en 60 secondes sont ajoutées à la liste noire.

Reflection Attack Filtering

• Scénario applicable : Pris en charge uniquement par les ressources cloud améliorées. Toujours actif.

• Effet de la protection : S'applique uniquement au trafic UDP. Rejette le trafic provenant des ports source de réflexion UDP spécifiés.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, cliquez sur Settings dans la section Reflection Attack Filtering.

  2. Sur le panneau Configure Filtering Policies for UDP Reflection Attacks, sélectionnez une stratégie de filtrage. Les deux stratégies suivantes sont prises en charge :

     • One-click Filtering Policy : Répertorie les ports courants des attaques par réflexion UDP. Bloquez tous les ports que votre activité n'utilise pas.

     • Custom Filtering Policy : Personnalisez les ports source de réflexion (jusqu'à 20). Les ports ne peuvent pas dupliquer ceux de la stratégie One-click Filtering Policy.

Fingerprint

• Scénario applicable : Prend effet lors des attaques pour les ressources cloud standard. Toujours actif pour les ressources cloud améliorées.

• Effet de la protection : Les paquets d'attaque forgés partagent généralement les mêmes champs de caractéristiques, tels qu'une chaîne spécifique ou un contenu de paquet identique. Le filtrage par empreinte identifie ces paquets en faisant correspondre les champs d'en-tête et le contenu du corps des données (payload), puis filtre, autorise ou limite le débit du trafic en fonction du résultat de la correspondance. Une seule règle d'empreinte peut combiner plusieurs conditions de correspondance et effectuer des opérations numériques sur des champs tels que les ports, la longueur des paquets, les adresses IP, les indicateurs TCP et le payload avant de les comparer.

  Remarque

  Toutes les règles d'empreinte s'appliquent uniquement aux paquets TCP et UDP.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, cliquez sur Settings dans la section Fingerprint.

  2. Sur le panneau Configure Fingerprint Rules, cliquez sur Add Rule.

     Une seule politique de protection prend en charge un maximum de 8 règles d'empreinte.

  3. Sur le panneau Add Fingerprint Rule, sélectionnez un mode de règle.

     • Standard Mode : Sélectionnez les champs, les opérations numériques et les comparaisons dans un formulaire, et combinez plusieurs conditions avec AND ou OR. Adapté aux caractéristiques courantes, sans syntaxe d'expression à mémoriser.

     • Expert Mode : Rédigez directement l'expression de caractéristique du paquet. Prend en charge les valeurs de décalage d'octet, les opérations arithmétiques et binaires, ainsi que l'imbrication. Adapté aux scénarios de caractéristiques complexes.

     Important

     Les règles créées dans les deux modes sont indépendantes les unes des autres et coexistent dans la même liste. Pour conserver l'exhaustivité de l'expression, le mode ne peut pas être modifié après la création d'une règle. Pour utiliser un autre mode, supprimez la règle et recréez-la.

  4. Si vous sélectionnez Standard Mode, configurez les Rule Conditions comme suit.

     • 1. Select Field : Sélectionnez le champ du paquet à faire correspondre. Pour connaître les champs pris en charge et leurs valeurs valides, consultez la section Champs pris en charge et valeurs valides de cette rubrique.

     • 2. Numeric Operations : Facultatif. Effectuez d'abord une opération sur la valeur du champ, puis comparez le résultat. Les opérateurs suivants sont pris en charge : & (ET binaire), >> (décalage à droite), + et -. L'opérande peut être une valeur décimale ou hexadécimale 0x. Les champs d'adresse et les champs de version ne prennent pas en charge les opérations numériques.

     • 3. Compare and Match : Sélectionnez un opérateur de comparaison et saisissez une valeur. Les opérateurs suivants sont pris en charge : ==, !=, >, <, >=, <= et in. L'opérateur in effectue une correspondance de plage au format in [a, b], où les deux extrémités doivent être des valeurs décimales et a ne doit pas être supérieur à b.

     Cliquez sur AND ou OR pour ajouter d'autres conditions. Une seule règle d'empreinte prend en charge un maximum de 10 Rule Conditions.

  5. Si vous sélectionnez Expert Mode, saisissez une expression dans le champ Packet Feature Expression.

     • L'expression utilise la syntaxe de filtre d'affichage Wireshark, par exemple tcp.srcport >= 80 and tcp.srcport <= 443 and ip.len > 1000. Des suggestions de saisie semi-automatique apparaissent lorsque vous tapez un nom de champ. Vous pouvez également développer Syntax Reference and Examples et cliquer sur un champ dans Fields and Values pour l'insérer.

     • Tous les champs de l'expression doivent être des champs pris en charge, et l'expression doit contenir au moins un champ.

     • Les décalages écrits directement après un nom de protocole ne sont pas pris en charge, tels que udp[4:2] ou ip[8]. Utilisez plutôt la forme de champ, telle que udp.payload[4:2].

     • Une seule règle d'empreinte prend en charge un maximum de 20 sous-conditions.

  6. Configurez l'Action, qui correspond à l'action à effectuer sur le trafic après une correspondance de caractéristique. Valeurs valides : Pass, Discard, Rate Limit by Packet, Rate Limit by Flow et Observe. Si vous sélectionnez Rate Limit by Packet ou Rate Limit by Flow, vous devez également définir la Bandwidth. Valeurs valides : 1 à 100000.

  7. Saisissez éventuellement des Remarks (jusqu'à 256 caractères), puis cliquez sur OK.

  Champs pris en charge et valeurs valides

  Le mode Standard et le mode Expert utilisent la même liste de champs. Dans le tableau suivant, All fait référence à ==, !=, >, <, >=, <= et in.

  Catégorie de champ	Champ	Opérateurs de comparaison pris en charge	Valeurs valides et description
  Port	tcp.srcport, tcp.dstport, udp.srcport, udp.dstport	All	0 à 65535. Les valeurs décimales ou hexadécimales 0x sont prises en charge.
  Longueur du paquet IP	ip.len	All	1 à 1500. Unité : octets.
  Corps des données	tcp.payload, udp.payload	==, !=, >, <, >= et <=. L'opérateur in n'est pas pris en charge.	La plage [offset:bytes] est requise, où offset varie de 0 à 1500 et bytes ne peut être que 1, 2 ou 4. La valeur de comparaison doit être une valeur hexadécimale 0x d'au plus 4 octets, par exemple tcp.payload[0:4] == 0x12345678.
  Adresse IPv4	ip.src, ip.dst, ip.addr	== uniquement	Notation décimale pointée, chaque octet variant de 0 à 255. Les zéros non significatifs ne sont pas autorisés. Les opérations numériques ne sont pas prises en charge.
  Adresse IPv6	ipv6.src, ipv6.dst	== uniquement	Le format complet et le format compressé :: sont pris en charge. Le format mappé IPv4 tel que ::ffff:1.2.3.4 et le format ID de zone tel que fe80::1 %eth0 ne sont pas pris en charge. Les opérations numériques ne sont pas prises en charge.
  Indicateur TCP	tcp.flags.fin, tcp.flags.syn, tcp.flags.rst, tcp.flags.psh, tcp.flags.ack, tcp.flags.urg, tcp.flags.ecn, tcp.flags.cwr	== uniquement	Seule la valeur décimale 0 ou 1 est autorisée. Les valeurs hexadécimales telles que 0x1 et les zéros non significatifs tels que 01 ne sont pas autorisés.
  Numéro de séquence TCP	tcp.seq, tcp.ack	All	0 à 4294967295.
  Valeur 16 bits	tcp.window_size_value, tcp.checksum, tcp.urgent_pointer, udp.checksum, ip.id, ip.flags	All	0 à 65535. ip.flags est un mot de 16 bits. Pour plus de détails, consultez les notes de syntaxe ci-dessous.
  Longueur du paquet UDP	udp.length	All	8 à 65535. L'en-tête UDP étant fixe à 8 octets, la valeur minimale est 8.
  Numéro de protocole de couche supérieure	ip.proto	All	0 à 255. Valeurs courantes : 6 pour TCP et 17 pour UDP.
  Longueur de l'en-tête	ip.hdr_len, tcp.hdr_len	All	20 à 60. Unité : octets. Pour une comparaison exacte ==, la valeur doit être un multiple de 4, c'est-à-dire 20, 24, 28, etc., jusqu'à 60.
  Version du protocole	ip.version, ipv6.version	== uniquement	ip.version ne peut être que 4, et ipv6.version ne peut être que 6. Les opérations numériques ne sont pas prises en charge.

  Notes de syntaxe

  • Seuls les opérateurs minuscules and et or peuvent être utilisés pour joindre des conditions, et ils doivent être entourés d'espaces. (a)and(b) et les majuscules AND et OR provoquent une erreur de syntaxe.

  • Seul le préfixe hexadécimal minuscule 0x est autorisé. 0X1F est rejeté.

  • Le séparateur dans une plage de payload est un deux-points, comme dans [offset:bytes], et non une virgule.

  • ip.flags est traité comme un mot de 16 bits, composé des indicateurs IP de 3 bits et du décalage de fragment de 13 bits. Pour faire correspondre un indicateur spécifique, vous devez utiliser la valeur littérale complète : écrivez ip.flags == 0x4000 pour faire correspondre un indicateur DF défini, et ip.flags == 0x2000 pour faire correspondre un indicateur MF défini. ip.flags == 2 fait correspondre un décalage de fragment de 2 plutôt que l'indicateur MF.

  • Lorsqu'une opération numérique est configurée, la valeur de comparaison s'applique au résultat de l'opération plutôt qu'à la valeur originale du champ, de sorte que les valeurs valides du tableau précédent ne sont plus vérifiées.

  • La longueur totale d'une seule règle d'empreinte ne peut pas dépasser 3000 caractères.

SIP Protocol Protection

Conçue pour les services de communication VoIP/voix, la protection du protocole SIP permet le passage des paquets fragmentés du protocole SIP. Elle prend également en charge le filtrage des paquets non-SIP, la vérification de l'authenticité des clients SIP et la limitation du débit du trafic SIP selon les besoins.

• Scénario applicable : Prend effet lors des attaques pour les ressources cloud standard. Toujours actif pour les ressources cloud améliorées.

• Effet de la protection :

  • Permet le passage des paquets IP fragmentés du protocole SIP, empêchant l'interruption des services vocaux VoIP due au blocage erroné des paquets fragmentés.

  • (Facultatif) Blocage des protocoles non-SIP : Rejette directement les paquets de protocoles non-SIP dans la plage de ports SIP configurée.

  • (Facultatif) Sonde des clients SIP : Sonde activement les clients utilisant le protocole SIP et rejette le trafic ultérieur des clients qui ne répondent pas ou répondent de manière anormale.

  • (Facultatif) Limitation du débit source SIP : Applique une limite de débit supérieure aux paquets SIP provenant d'une seule adresse IP source ; le trafic dépassant la limite est rejeté.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, repérez la section SIP Protocol Protection et cliquez sur la carte.

  2. Dans le panneau SIP Protocol Protection qui s'affiche sur la droite, activez l'interrupteur Enable SIP Protocol Protection.

  3. Configurez les paramètres suivants, puis cliquez sur OK.

     • SIP Port Range : Saisissez le port SIP utilisé par votre service. La valeur par défaut est 5060. Prend en charge les ports uniques, plusieurs ports (séparés par des virgules) ou des plages continues (séparées par des traits d'union), ainsi que toute combinaison de ceux-ci.

     • Defense mode : Sélectionnez un niveau de protection. La valeur par défaut est Normal. Lorsque vous sélectionnez Loose, Normal ou Strict, le système remplit automatiquement les paramètres en fonction du modèle prédéfini et les définit en lecture seule. Lorsque vous sélectionnez Custom, les paramètres ci-dessous peuvent être modifiés manuellement.

       Mode de défense	Capacités d'atténuation activées	Seuil d'activation	Scénarios
       Loose	Blocage des protocoles non-SIP	2 000 PPS	Maximise la disponibilité du service. Adapté aux services vocaux très sensibles aux faux positifs.
       Normal (par défaut)	Blocage des protocoles non-SIP, sonde des clients SIP	1 000 PPS	Adapté à la plupart des services VoIP.
       Strict	Blocage des protocoles non-SIP, sonde des clients SIP, limitation du débit source SIP	500 PPS + 10 Mbps ; limite de débit par source : 1 000 PPS	Adapté aux scénarios subissant des attaques SIP Flood soutenues.
       Custom	Tous les paramètres sont configurables manuellement	Personnalisé	Recommandé pour les utilisateurs ayant une expérience de la protection SIP.

     • Activation Threshold (modifiable uniquement en mode Custom) : L'algorithme de protection s'active uniquement lorsque le trafic SIP dépasse ce seuil.

     • Non-SIP Protocol Blocking (modifiable uniquement en mode Custom) : Lorsqu'il est activé, identifie et rejette directement les paquets de protocoles non-SIP dans la plage de ports SIP configurée. Cela est particulièrement efficace lorsque les ports sont détournés pour des attaques par réflexion ou des charges utiles illégales.

     • SIP Client Probing (modifiable uniquement en mode Custom) : Lorsqu'il est activé, sonde activement les clients utilisant le protocole SIP. Le trafic ultérieur des clients qui ne répondent pas ou répondent de manière anormale est rejeté, identifiant efficacement les sources usurpées ou les bots de réflexion.

     • SIP Source Rate Limiting (modifiable uniquement en mode Custom) : Lorsqu'il est activé, applique une limite de débit supérieure aux paquets SIP provenant d'une seule adresse IP source. Le trafic dépassant la limite est rejeté. Vous devez spécifier une valeur de limite de débit par source. Recommandé lorsqu'une attaque SIP Flood de grand volume a été confirmée.

Liste blanche des adresses de retour à l'origine du proxy Anti-DDoS

Ajoute les adresses IP de retour à l'origine du proxy Anti-DDoS à la liste blanche de contrôle d'accès. Pris en charge uniquement par les ressources cloud améliorées. Lors de la protection des ressources cloud améliorées, le trafic est renvoyé vers l'origine via le centre de nettoyage du proxy Anti-DDoS. Activez cette option pour éviter le blocage accidentel du trafic légitime.

Méthode de configuration :

1. Dans le panneau de configuration des règles, repérez la section Add Back-to-origin CIDR Blocks of Anti-DDoS Proxy to Whitelist.

2. Activez ou désactivez l'interrupteur. Fortement recommandé pour les ressources cloud améliorées.

Étape 3 : Sélectionner les objets protégés

Après avoir configuré les règles d'atténuation, cliquez sur Next pour accéder à la page de sélection des objets protégés.

1. Dans la section Objects to Select de la page Protected Assets, sélectionnez les objets protégés (adresses IP publiques) auxquels vous souhaitez appliquer cette politique.

2. Cliquez sur Add. Après la création de la politique d'atténuation, cliquez sur Back. Sur la page Mitigation Settings, vous pouvez consulter la politique nouvellement créée.