Anti-DDoS:Politique de protection IP

Étape 1 : Créer les informations de base

1. Accédez à la page de la console Traffic Security.

2. Cliquez sur Créer une politiqueCreate Policy. Dans la boîte de dialogue qui s'affiche, saisissez un Nom de la politiquePolicy Name, puis cliquez sur OKOK.

3. Une fois la politique créée, cliquez sur OKOK dans la boîte de dialogue La politique est créée.The policy is created. pour accéder à la page Créer une règleCreate Rule.

   Remarque

   Vous pouvez également rechercher la politique nouvellement créée sur la page de liste des politiques et cliquer sur Modifier la politique d'atténuationModify Mitigation Policy pour accéder au panneau de configuration des règles.

Étape 2 : Configurer les règles d'atténuation

Sur la page Créer une règleCreate Rule, configurez les règles d'atténuation suivantes.

Protection intelligenteIntelligent Protection

Le moteur d'analyse de big data intelligent apprend la ligne de base du trafic métier et protège de manière adaptative contre les attaques DDoS aux niveaux réseau et transport.

• Scénario applicable : Toujours actif pour les ressources cloud standard et améliorées.

• Effet de protection : Basé sur les données historiques de trafic et les algorithmes d'expérience experte, les niveaux de protection sont les suivants :

  Important

  Après avoir créé un modèle de politique, cette fonctionnalité est activée par défaut au niveau NormalNormal. Une protection optimale nécessite environ 3 jours d'apprentissage du trafic métier.

  • RelâchéLoose : Bloque les IP présentant des modèles d'attaque évidents. Certaines attaques peuvent passer, mais les faux positifs sont faibles.

  • NormalNormal : Bloque les IP manifestement malveillantes et suspectes. Équilibre entre protection et faux positifs.

  • StrictStrict : Défense maximale, mais taux de faux positifs plus élevé.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, recherchez la section Protection intelligenteIntelligent Protection.

  2. Dans la section NiveauLevel, sélectionnez un niveau de protection : RelâchéLoose, NormalNormal ou StrictStrict.

Blocage ICMPICMP Blocking

Supprime le trafic ICMP pendant le nettoyage pour filtrer les attaques ICMP et réduire le risque de sondage du serveur.

• Scénario applicable : S'applique pendant les attaques pour les ressources cloud standard. Toujours actif pour les ressources cloud améliorées.

• Effet de protection :

  • Lorsque le blocage ICMP est activé, les commandes ping ne reçoivent aucune réponse.

    Avertissement

    Désactivez le blocage ICMP avant d'exécuter des diagnostics réseau. Sinon, la commande ping ne fonctionnera pas.

  • Le blocage ICMP s'applique également aux IP figurant sur la liste d'autorisation. Le trafic ICMP provenant des IP de la liste d'autorisation est supprimé.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, recherchez la section Blocage ICMPICMP Blocking.

  2. Dans la section StatutStatus, activez ou désactivez l'interrupteur. Activez cette règle si votre activité n'utilise pas le protocole ICMP.

Liste de blocage et liste d'autorisationBlacklist and Whitelist

• Scénario applicable : S'applique pendant les attaques pour les ressources cloud standard. Toujours actif pour les ressources cloud améliorées.

• Effet de protection : Configure des règles pour supprimer directement ou autoriser le trafic provenant d'IP source spécifiées.

  Important

  Si le trafic autorisé par la liste d'autorisation est trop important, le trafic autorisé peut toujours déclencher la politique de limitation du débit de l'IP de destination par défaut d'Anti-DDoS Native en raison des spécifications des ressources cloud et des garanties de la plateforme cloud.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, recherchez la section Liste de blocage et liste d'autorisationBlacklist and Whitelist et cliquez sur ParamètresSettings.

  2. Sélectionnez Liste de blocageBlacklist ou Liste d'autorisationWhitelist, puis effectuez la configuration comme suit.

     Liste de blocageBlacklist

     1. Définissez la période d'expiration (Liste de blocageBlacklist uniquement) : Vous devez définir une période d'expiration lors de l'ajout d'une liste de blocage. Le paramètre s'applique à toutes les IP de la liste de blocage.

        1. Dans l'onglet Liste de blocageBlacklist, cliquez sur Paramétrage de la période de validitéValidity Period Setting.

        2. Dans la section Paramétrage de la période de validitéValidity Period Setting de la boîte de dialogue, définissez la période d'expiration en fonction des besoins de votre activité. Vous pouvez sélectionner PersonnaliséCustom (5 à 43 200 minutes), PermanentPermanent, 30 minutes ou d'autres périodes.

     2. Ajoutez des adresses IP :

        1. Cliquez sur AjouterAdd. La boîte de dialogue de configuration Configuration de la liste de blocageBlacklist Configuration s'affiche.

        2. Dans la boîte de dialogue de configuration, saisissez les adresses IP de la liste de blocage. Séparez plusieurs adresses par des espaces ou des sauts de ligne.

           Remarque

           Vous pouvez ajouter manuellement jusqu'à 2 000 adresses IP à la liste de blocage.

     Liste d'autorisationWhitelist

     1. Cliquez sur AjouterAdd. La boîte de dialogue de configuration Configuration de la liste d'autorisationWhitelist Configuration s'affiche.

     2. Dans la boîte de dialogue de configuration, saisissez les adresses IP de la liste d'autorisation. Séparez plusieurs adresses par des espaces ou des sauts de ligne.

        Remarque

        Vous pouvez ajouter manuellement jusqu'à 2 000 adresses IP à la liste d'autorisation.

Liste de blocage géographiqueLocation Blacklist

Bloque les demandes d'accès en fonction des régions géographiques.

• Scénario applicable : S'applique pendant les attaques pour les ressources cloud standard. Toujours actif pour les ressources cloud améliorées.

• Effet de protection : Le trafic provenant des régions bloquées vers l'IP de destination est supprimé. Blocage par région ou par pays.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, recherchez la section Liste de blocage géographiqueLocation Blacklist.

  2. Dans la liste de sélection des régions, sélectionnez les régions ou les pays à bloquer, puis cliquez sur OKOK.

     Remarque

     Bloquez toutes les régions ne générant aucun trafic métier légitime.

Blocage de portPort Blocking

Configure des règles de filtrage des ports source ou de destination pour les protocoles UDP ou TCP.

• Scénario applicable : S'applique pendant les attaques pour les ressources cloud standard. Toujours actif pour les ressources cloud améliorées.

• Effet de protection : Supprime le trafic provenant des ports de protocole spécifiés. Utilisez cette option pour filtrer les attaques par réflexion UDP.

• Suggestions de configuration :

  • Si vos ressources utilisent uniquement le trafic TCP, bloquez tous les ports source UDP.

    Remarque

    Ajustez la politique si vous ajoutez des services UDP ultérieurement.

  • Si vos ressources utilisent le trafic UDP, bloquez les ports source de réflexion UDP courants : 1-52, 54-161, 389, 1900 et 11211.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, cliquez sur ParamètresSettings dans la section Blocage de portPort Blocking.

  2. Sur la page Configurer le blocage des ports sourceConfigure Source Port Blocking, cliquez sur Ajouter un portAdd Port.

  3. Dans la boîte de dialogue Ajouter un portAdd Port, effectuez la configuration comme suit et cliquez sur OKOK pour enregistrer la règle.

     Remarque

     Prend en charge jusqu'à 8 règles.

     • ProtocoleProtocol : Sélectionnez le type de protocole : TCP ou UDP.

     • Plage de ports sourceSource Port Range, Plage de ports de destinationDestination Port Range : Définissez la plage de ports source et la plage de ports de destination.

     • actionAction : Seule l'option SupprimerDiscard est prise en charge.

Source Rate Limiting

Limite le débit des adresses IP source dont la fréquence d'accès dépasse le seuil défini.

• Scénario applicable : Pris en charge uniquement par les assets cloud améliorés. Toujours actif.

• Effet de la protection : Les adresses IP source qui dépassent le seuil sont ajoutées à la liste de blocage et tout leur trafic est rejeté.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, cliquez sur Settings dans la section Source Rate Limiting.

  2. Dans le panneau Configure Source Rate Limiting, activez l'interrupteur de dimension de limitation de débit (Source PPS, Source Bandwidth, PPS of Source SYN Packets ou Bandwidth of Source SYN Packets), puis saisissez le seuil de limitation de débit.

  3. (Facultatif) Activez la fonction d'ajout automatique à la liste de blocage : sélectionnez If a source IP address triggers rate limiting five times within 60 seconds, the IP address is added to the blacklist.. Les adresses IP qui dépassent la limite de débit cinq fois en 60 secondes sont ajoutées à la liste de blocage.

Reflection Attack Filtering

• Scénario applicable : Pris en charge uniquement par les assets cloud améliorés. Toujours actif.

• Effet de la protection : S'applique uniquement au trafic UDP. Rejette le trafic provenant des ports source de réflexion UDP spécifiés.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, cliquez sur Settings dans la section Reflection Attack Filtering.

  2. Dans le panneau Configure Filtering Policies for UDP Reflection Attacks, sélectionnez une stratégie de filtrage. Les deux stratégies suivantes sont prises en charge :

     • One-click Filtering Policy : Répertorie les ports courants utilisés dans les attaques par réflexion UDP. Bloquez tous les ports que votre activité n'utilise pas.

     • Custom Filtering Policy : Personnalisez les ports source de réflexion (jusqu'à 20). Les ports ne peuvent pas dupliquer ceux de la stratégie One-click Filtering Policy.

Fingerprint

• Scénario applicable : Prend effet pendant les attaques pour les assets cloud standard. Toujours actif pour les assets cloud améliorés.

• Effet de la protection : Les paquets d'attaque forgés partagent généralement les mêmes champs de caractéristiques, tels qu'une chaîne spécifique ou un contenu de paquet identique. Le filtrage par empreinte identifie ces paquets en faisant correspondre les champs d'en-tête et le contenu du corps des données (payload), puis filtre, autorise ou limite le débit du trafic en fonction du résultat de la correspondance. Une seule règle d'empreinte peut combiner plusieurs conditions de correspondance et effectuer des opérations numériques sur des champs tels que les ports, la longueur des paquets, les adresses IP, les indicateurs TCP et le payload avant de les comparer.

  Remarque

  Toutes les règles d'empreinte s'appliquent uniquement aux paquets TCP et UDP.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, cliquez sur Settings dans la section Fingerprint.

  2. Dans le panneau Configure Fingerprint Rules, cliquez sur Add Rule.

     Une seule politique de protection prend en charge un maximum de 8 règles d'empreinte.

  3. Dans le panneau Add Fingerprint Rule, sélectionnez un mode de règle.

     • Standard Mode : Sélectionnez les champs, les opérations numériques et les comparaisons dans un formulaire, et combinez plusieurs conditions avec AND ou OR. Convient aux caractéristiques courantes, sans syntaxe d'expression à mémoriser.

     • Expert Mode : Écrivez directement l'expression de caractéristique du paquet. Prend en charge les valeurs de décalage d'octet, les opérations arithmétiques et binaires, ainsi que l'imbrication. Convient aux scénarios de caractéristiques complexes.

     Important

     Les règles créées dans les deux modes sont indépendantes les unes des autres et coexistent dans la même liste. Pour conserver l'exhaustivité de l'expression, le mode ne peut pas être modifié après la création d'une règle. Pour utiliser un mode différent, supprimez la règle et recréez-la.

  4. Si vous sélectionnez Standard Mode, configurez les Rule Conditions comme suit.

     • 1. Select Field : Sélectionnez le champ de paquet à faire correspondre. Pour connaître les champs pris en charge et leurs valeurs valides, consultez la section Supported fields and valid values de cette rubrique.

     • 2. Numeric Operations : Facultatif. Effectuez d'abord une opération sur la valeur du champ, puis comparez le résultat. Les opérateurs suivants sont pris en charge : & (ET binaire), >> (décalage vers la droite), + et -. L'opérande peut être une valeur décimale ou hexadécimale 0x. Les champs d'adresse et les champs de version ne prennent pas en charge les opérations numériques.

     • 3. Compare and Match : Sélectionnez un opérateur de comparaison et saisissez une valeur. Les opérateurs suivants sont pris en charge : ==, !=, >, <, >=, <= et in. L'opérateur in effectue une correspondance de plage au format in [a, b], où les deux extrémités doivent être des valeurs décimales et a ne doit pas être supérieur à b.

     Cliquez sur AND ou OR pour ajouter d'autres conditions. Une seule règle d'empreinte prend en charge un maximum de 10 Rule Conditions.

  5. Si vous sélectionnez Expert Mode, saisissez une expression dans le champ Packet Feature Expression.

     • L'expression utilise la syntaxe de filtre d'affichage Wireshark, par exemple tcp.srcport >= 80 and tcp.srcport <= 443 and ip.len > 1000. Des suggestions de saisie semi-automatique apparaissent lorsque vous tapez un nom de champ. Vous pouvez également développer la section Syntax Reference and Examples et cliquer sur un champ dans Fields and Values pour l'insérer.

     • Tous les champs de l'expression doivent être des champs pris en charge, et l'expression doit contenir au moins un champ.

     • Les décalages écrits directement après un nom de protocole ne sont pas pris en charge, tels que udp[4:2] ou ip[8]. Utilisez plutôt la forme de champ, telle que udp.payload[4:2].

     • Une seule règle d'empreinte prend en charge un maximum de 20 sous-conditions.

  6. Configurez l'Action, c'est-à-dire l'action à effectuer sur le trafic après une correspondance de caractéristique. Valeurs valides : Pass, Discard, Rate Limit by Packet, Rate Limit by Flow et Observe. Si vous sélectionnez Rate Limit by Packet ou Rate Limit by Flow, vous devez également définir la Bandwidth. Valeurs valides : 1 à 100000.

  7. Saisissez éventuellement des Remarks (jusqu'à 256 caractères), puis cliquez sur OK.

  Champs pris en charge et valeurs valides

  Le mode Standard et le mode Expert utilisent la même liste de champs. Dans le tableau suivant, All fait référence à ==, !=, >, <, >=, <= et in.

  Catégorie de champ	Champ	Opérateurs de comparaison pris en charge	Valeurs valides et description
  Port	tcp.srcport, tcp.dstport, udp.srcport, udp.dstport	All	0 à 65535. Les valeurs décimales ou hexadécimales 0x sont prises en charge.
  Longueur du paquet IP	ip.len	All	1 à 1500. Unité : octets.
  Corps des données	tcp.payload, udp.payload	==, !=, >, <, >= et <=. L'opérateur in n'est pas pris en charge.	La plage [offset:bytes] est requise, où offset varie de 0 à 1500 et bytes ne peut être que 1, 2 ou 4. La valeur de comparaison doit être une valeur hexadécimale 0x d'au plus 4 octets, par exemple tcp.payload[0:4] == 0x12345678.
  Adresse IPv4	ip.src, ip.dst, ip.addr	== uniquement	Notation décimale pointée, chaque octet variant de 0 à 255. Les zéros non significatifs ne sont pas autorisés. Les opérations numériques ne sont pas prises en charge.
  Adresse IPv6	ipv6.src, ipv6.dst	== uniquement	Le format complet et le format compressé :: sont pris en charge. Le format mappé IPv4 tel que ::ffff:1.2.3.4 et le format ID de zone tel que fe80::1 %eth0 ne sont pas pris en charge. Les opérations numériques ne sont pas prises en charge.
  Indicateur TCP	tcp.flags.fin, tcp.flags.syn, tcp.flags.rst, tcp.flags.psh, tcp.flags.ack, tcp.flags.urg, tcp.flags.ecn, tcp.flags.cwr	== uniquement	Seule la valeur décimale 0 ou 1 est autorisée. Les valeurs hexadécimales telles que 0x1 et les zéros non significatifs tels que 01 ne sont pas autorisés.
  Numéro de séquence TCP	tcp.seq, tcp.ack	All	0 à 4294967295.
  Valeur 16 bits	tcp.window_size_value, tcp.checksum, tcp.urgent_pointer, udp.checksum, ip.id, ip.flags	All	0 à 65535. ip.flags est un mot de 16 bits. Pour plus de détails, consultez les notes de syntaxe ci-dessous.
  Longueur du paquet UDP	udp.length	All	8 à 65535. L'en-tête UDP étant fixe à 8 octets, la valeur minimale est 8.
  Numéro de protocole de couche supérieure	ip.proto	All	0 à 255. Valeurs courantes : 6 pour TCP et 17 pour UDP.
  Longueur de l'en-tête	ip.hdr_len, tcp.hdr_len	All	20 à 60. Unité : octets. Pour une comparaison exacte ==, la valeur doit être un multiple de 4, c'est-à-dire 20, 24, 28, etc., jusqu'à 60.
  Version du protocole	ip.version, ipv6.version	== uniquement	ip.version ne peut être que 4, et ipv6.version ne peut être que 6. Les opérations numériques ne sont pas prises en charge.

  Notes de syntaxe

  • Seuls les opérateurs minuscules and et or peuvent être utilisés pour joindre des conditions, et ils doivent être entourés d'espaces. (a)and(b) et les majuscules AND et OR provoquent une erreur de syntaxe.

  • Seul le préfixe hexadécimal minuscule 0x est autorisé. 0X1F est rejeté.

  • Le séparateur dans une plage de payload est un deux-points, comme dans [offset:bytes], et non une virgule.

  • ip.flags est traité comme un mot de 16 bits, composé des 3 bits d'indicateurs IP et du décalage de fragment de 13 bits. Pour faire correspondre un indicateur spécifique, vous devez utiliser la valeur littérale complète : écrivez ip.flags == 0x4000 pour faire correspondre un indicateur DF défini, et ip.flags == 0x2000 pour faire correspondre un indicateur MF défini. ip.flags == 2 fait correspondre un décalage de fragment de 2 plutôt que l'indicateur MF.

  • Lorsqu'une opération numérique est configurée, la valeur de comparaison s'applique au résultat de l'opération plutôt qu'à la valeur du champ d'origine, de sorte que les valeurs valides du tableau précédent ne sont plus vérifiées.

  • La longueur totale d'une seule règle d'empreinte ne peut pas dépasser 3000 caractères.

SIP Protocol Protection

Conçue pour les services de communication VoIP/voix, la protection du protocole SIP permet aux paquets fragmentés du protocole SIP de passer. Elle prend également en charge le filtrage des paquets non conformes au protocole SIP, la vérification de l'authenticité des clients SIP et la limitation du débit du trafic SIP à la demande.

• Scénario applicable : Prend effet pendant les attaques pour les assets cloud standard. Toujours actif pour les assets cloud améliorés.

• Effet de la protection :

  • Permet aux paquets IP fragmentés du protocole SIP de passer, empêchant ainsi l'interruption des services vocaux VoIP due au blocage erroné des paquets fragmentés.

  • (Facultatif) Blocage du protocole non-SIP : Rejette directement les paquets non conformes au protocole SIP dans la plage de ports SIP configurée.

  • (Facultatif) Sondage des clients SIP : Sonde activement les clients utilisant le protocole SIP et rejette le trafic ultérieur des clients qui ne répondent pas ou répondent de manière anormale.

  • (Facultatif) Limitation du débit source SIP : Applique une limite de débit maximale aux paquets SIP provenant d'une seule adresse IP source ; le trafic dépassant la limite est rejeté.

• Méthode de configuration :

  1. Dans le panneau de configuration des règles, localisez la section SIP Protocol Protection et cliquez sur la carte.

  2. Dans le panneau SIP Protocol Protection qui s'affiche sur la droite, activez l'interrupteur Enable SIP Protocol Protection.

  3. Configurez les paramètres suivants, puis cliquez sur OK.

     • SIP Port Range : Saisissez le port SIP utilisé par votre service. La valeur par défaut est 5060. Prend en charge les ports uniques, plusieurs ports (séparés par des virgules) ou des plages continues (séparées par des traits d'union), ainsi que toute combinaison de ceux-ci.

     • Defense mode : Sélectionnez un niveau de protection. La valeur par défaut est Normal. Lorsque vous sélectionnez Loose, Normal ou Strict, le système remplit automatiquement les paramètres en fonction du modèle prédéfini et les définit en lecture seule. Lorsque vous sélectionnez Custom, les paramètres ci-dessous peuvent être modifiés manuellement.

       Mode de défense	Capacités d'atténuation activées	Seuil d'activation	Scénarios
       Loose	Blocage du protocole non-SIP	2 000 PPS	Maximise la disponibilité du service. Convient aux services vocaux très sensibles aux faux positifs.
       Normal (par défaut)	Blocage du protocole non-SIP, sondage des clients SIP	1 000 PPS	Convient à la plupart des services VoIP.
       Strict	Blocage du protocole non-SIP, sondage des clients SIP, limitation du débit source SIP	500 PPS + 10 Mbps ; limite de débit par source : 1 000 PPS	Convient aux scénarios subissant des attaques SIP Flood soutenues.
       Custom	Tous les paramètres sont configurables manuellement	Personnalisé	Recommandé pour les utilisateurs ayant une expérience de la protection SIP.

     • Activation Threshold (modifiable uniquement en mode Custom) : L'algorithme de protection s'active uniquement lorsque le trafic SIP dépasse ce seuil.

     • Non-SIP Protocol Blocking (modifiable uniquement en mode Custom) : Lorsqu'il est activé, identifie et rejette directement les paquets non conformes au protocole SIP dans la plage de ports SIP configurée. Cela est particulièrement efficace lorsque les ports sont abusés pour des attaques par réflexion ou des charges utiles illégales.

     • SIP Client Probing (modifiable uniquement en mode Custom) : Lorsqu'il est activé, sonde activement les clients utilisant le protocole SIP. Le trafic ultérieur des clients qui ne répondent pas ou répondent de manière anormale est rejeté, identifiant efficacement les sources usurpées ou les bots de réflexion.

     • SIP Source Rate Limiting (modifiable uniquement en mode Custom) : Lorsqu'il est activé, applique une limite de débit maximale aux paquets SIP provenant d'une seule adresse IP source. Le trafic dépassant la limite est rejeté. Vous devez spécifier une valeur de limite de débit par source. Recommandé lorsqu'une attaque SIP Flood de grand volume a été confirmée.

Liste blanche des adresses de retour à l'origine du proxy Anti-DDoS

Ajoute les adresses IP de retour à l'origine du proxy Anti-DDoS à la liste blanche de contrôle d'accès. Pris en charge uniquement par les assets cloud améliorés. Lors de la protection des assets cloud améliorés, le trafic est renvoyé vers l'origine via le center de nettoyage du proxy Anti-DDoS. Activez cette option pour éviter le blocage accidentel du trafic commercial légitime.

Méthode de configuration :

1. Dans le panneau de configuration des règles, localisez la section Add Back-to-origin CIDR Blocks of Anti-DDoS Proxy to Whitelist.

2. Activez ou désactivez l'interrupteur. Fortement recommandé pour les assets cloud améliorés.

Étape 3 : Sélectionner les objets protégés

Après avoir configuré les règles d'atténuation, cliquez sur Next pour accéder à la page de sélection des objets protégés.

1. Dans la section Objects to Select de la page Protected Assets, sélectionnez les objets protégés (adresses IP publiques) auxquels vous souhaitez appliquer cette politique.

2. Cliquez sur Add. Après la création de la politique d'atténuation, cliquez sur Back. Sur la page Mitigation Settings, vous pouvez consulter la politique nouvellement créée.