Anti-DDoS:Analyse par capture de paquets

Périmètre de capture de paquets

La capture de paquets couvre le trafic entre les adresses IP des clients et l'adresse IP d'Anti-DDoS Proxy. Elle n'inclut pas le trafic entre l'adresse IP d'Anti-DDoS Proxy et le serveur d'origine. Notez que le trafic provenant d'adresses IP clientes associées à des ressources Alibaba Cloud n'est pas capturé.

• Anti-DDoS Proxy (Chinese Mainland) : Toutes les instances prennent en charge la capture de paquets. La capture s'effectue dans les centres de nettoyage situés en Chine continentale.

  Remarque

  Pour China Telecom (Shenzhen), les données capturées correspondent au trafic après nettoyage et n'incluent pas les données d'avant nettoyage.

• Anti-DDoS Proxy (Outside Chinese Mainland) :

  • Pour les plans Insurance et Unlimited, la capture de paquets s'effectue dans les centres de nettoyage situés hors de Chine continentale.

  • Pour les instances Chinese Mainland Acceleration, la capture de paquets est prise en charge uniquement dans la région Chine (Hong Kong).

  • Pour les instances Sec-CMA 2.0, la capture de paquets est prise en charge uniquement dans la région Chine (Hong Kong). Seul le trafic nettoyé par le fournisseur en amont peut être capturé.

Limites

• Taux d'échantillonnage : Le taux d'échantillonnage par défaut est de 1:1. La précision de l'échantillonnage est plus élevée pour les faibles volumes de trafic. Pour des volumes de trafic extrêmement élevés, le système échantillonne automatiquement les paquets ; le taux d'échantillonnage augmente alors avec le volume de trafic.

• Limite de taille des fichiers de capture : Pour la région Chine continentale, la taille maximale d'un fichier de capture de paquets est de 300 Mo par tâche. Pour les régions hors de Chine continentale, la taille maximale est de 100 Mo par tâche. Si la limite est atteinte, la capture s'arrête et le fichier de capture de paquets est généré immédiatement.

• Quota de tâches : Chaque compte Alibaba Cloud peut créer jusqu'à 50 tâches de capture de paquets par mois calendaire.

• Limite de stockage des fichiers : Chaque compte Alibaba Cloud peut stocker un maximum de 20 fichiers de capture de paquets simultanément. Si vous atteignez cette limite, supprimez les anciens fichiers pour en créer de nouveaux.

• Durée de conservation des fichiers : Les fichiers de capture de paquets sont conservés pendant une durée maximale de 30 jours.

• Instances expirées : Lorsqu'une instance Anti-DDoS Proxy expire, ses tâches de capture de paquets associées passent à l'état Invalid. La capture de paquets n'est pas prise en charge pour les instances libérées.

• Scénarios transfrontaliers : La capture de paquets peut échouer lorsqu'un client situé hors de Chine continentale accède à une adresse IP Anti-DDoS Proxy en Chine continentale, ou lorsqu'un client en Chine continentale accède à une adresse IP Anti-DDoS Proxy hors de Chine continentale.

Créer une tâche de capture de paquets

1. Activez l'analyse par capture de paquets.

   Lors de votre premier accès à la page Packet Capture, cliquez sur Authorize pour autoriser le stockage des fichiers de capture de paquets dans un pool de ressources Object Storage Service (OSS) partagé.

2. Créez une tâche de capture de paquets.

   1. Dans l'onglet Packet Capture Task, cliquez sur Create Packet Capture Task.

      Remarque

      Une seule tâche de capture manuelle de paquets peut s'exécuter à la fois.

      Parameter	Description
      Task Type	Manual Packet Capture : Démarre la capture immédiatement après la création de la tâche.
      Protocol Type	Valeurs valides : TCP, UDP, ICMP et ALL. Valeur par défaut : ALL.
      Destination IP Address	L'adresse IP de l'instance Anti-DDoS Proxy. Les instances Chinese Mainland Acceleration ne prennent pas en charge la capture de paquets et leurs adresses IP ne peuvent pas être sélectionnées.
      Destination Port	Valeurs valides : 0 à 65535. Une valeur de 0 indique tous les ports.
      Source IP Address	Saisissez une adresse IP ou une adresse IP avec un masque de sous-réseau. Un astérisque (*) représente toutes les adresses IP.
      Source Port	Valeurs valides : 0 à 65535. Une valeur de 0 indique tous les ports.
      Packet Capture Duration	Valeurs valides : 5 à 60. Unité : secondes.
      Packet Capture Direction	Bidirectional : Capture tout le trafic entre l'adresse IP du client et l'adresse IP d'Anti-DDoS Proxy. Outbound : Capture le trafic de l'adresse IP d'Anti-DDoS Proxy vers l'adresse IP du client. Inbound : Capture le trafic de l'adresse IP du client vers l'adresse IP d'Anti-DDoS Proxy.

3. Dans la liste des tâches de capture de paquets, cliquez sur Packet Capture Operations dans la colonne Packet Capture File pour télécharger ou supprimer le fichier.

   • Chaque tâche pour une instance Anti-DDoS Proxy (Chinese Mainland) génère un seul fichier de capture de paquets. En revanche, les tâches pour les instances Anti-DDoS Proxy (Outside Chinese mainland) sont distribuées sur plusieurs centres de nettoyage et peuvent générer jusqu'à neuf fichiers par tâche. Vous pouvez identifier la région de chaque fichier grâce à son nom.

   • Si aucune donnée ne traverse une région spécifique pendant la période de capture, aucun fichier de capture de paquets n'est généré pour cette région.

   • Le téléchargement d'un fichier de capture de paquets extrait les données du centre de nettoyage local. Les transferts de données transfrontaliers peuvent augmenter les temps de téléchargement. Le tableau suivant présente la correspondance entre les noms de fichiers et les régions :

     Region	Field in filename
     China (Hong Kong)	cn-hongkong
     Singapore	ap-southeast-1
     Japan (Tokyo)	ap-northeast-1
     US (Silicon Valley)	us-west-1
     US (Virginia)	us-east-1
     Germany (Frankfurt)	eu-central-1
     UK (London)	eu-west-1
     Indonesia (Jakarta)	ap-southeast-5
     Malaysia (Kuala Lumpur)	ap-southeast-3

4. (Facultatif) Cliquez sur Actions pour créer une nouvelle tâche avec la même configuration.

FAQ

• Les adresses IP source dans les fichiers de capture de paquets (PCAP) sont-elles les véritables adresses IP source de l'attaque ?

  Les adresses IP source enregistrées dans les fichiers PCAP d'attaques DDoS ne sont généralement pas les adresses IP réelles des attaquants. Le trafic d'attaque provient généralement d'hôtes compromis (botnets) ou utilise des adresses IP source usurpées. Vous ne pouvez pas tracer directement la source réelle de l'attaque à partir des données capturées. Nous vous recommandons d'utiliser les données de capture de paquets pour analyser les types d'attaques et les modèles de trafic plutôt que pour identifier les attaquants.

• Que faire si je ne peux pas télécharger un fichier de capture de paquets ?

  Pour télécharger un fichier de capture de paquets, le système doit avoir généré avec succès un enregistrement de capture. Si le téléchargement échoue ou si le fichier n'est pas disponible, vérifiez les causes possibles suivantes :

  • Aucune tâche de capture de paquets n'a été exécutée pendant la période spécifiée, ou la tâche n'a pas généré de fichier avec succès.

  • L'instance Anti-DDoS Proxy a expiré. La tâche de capture de paquets est marquée comme Invalid et les instances libérées ne permettent pas le téléchargement.

  • Dans les scénarios de capture de paquets transfrontaliers, la capture a échoué et aucun fichier de capture de paquets n'a été généré.

  • Les conditions de déclenchement de la capture automatique de paquets n'ont pas été remplies. La capture automatique de paquets est déclenchée uniquement par des attaques volumétriques de couche transport ou des attaques de couche application web.

Documents connexes

• Pour afficher les journaux d'opérations des tâches de capture de paquets, consultez Journaux d'opérations.

• Analysez les fichiers de capture de paquets et configurez des politiques de protection ciblées. Pour plus de détails, consultez Paramètres de protection.