Anti-DDoS:Aperçu de la sécurité

Présentation

Anti-DDoS Proxy vous permet d'afficher les données des 30 derniers jours. Sur la page Security Overview, cliquez sur Traffic Relationships and Description dans le coin supérieur droit pour comprendre les concepts clés du trafic liés à Anti-DDoS Proxy.

Avec Anti-DDoS Proxy, les journaux métier correspondent aux journaux d'accès présents sur vos serveurs (tels que les journaux d'accès Nginx ou Apache), et non aux journaux générés par la console Anti-DDoS Proxy. Analysez les adresses IP source, la fréquence des requêtes et les statuts de réponse dans vos journaux métier pour identifier le trafic anormal lié aux attaques CC. La fonctionnalité analyse des journaux de la console Anti-DDoS Proxy enregistre les journaux d'accès au site web tels qu'ils sont perçus par le service de protection Anti-DDoS. Ces journaux et ceux de votre serveur proviennent de sources de données différentes et peuvent se compléter mutuellement.

Prérequis

• Vous avez acheté une instance Anti-DDoS Proxy (Chinese Mainland) ou Anti-DDoS Proxy (Outside Chinese Mainland). Pour plus d'informations, reportez-vous à la rubrique Acheter une instance Anti-DDoS Proxy.

• Un service web ou un service non web a été ajouté à Anti-DDoS Proxy. Pour plus d'informations, consultez les rubriques Ajouter des sites web ou Gérer les règles de transfert.

Aperçu de la protection pour les instances

Anti-DDoS Proxy affiche les informations de service et les détails des attaques DDoS pour chaque instance.

1. Connectez-vous à la console Anti-DDoS Proxy.

2. Dans la barre de navigation supérieure, sélectionnez la région de votre instance.

   • Anti-DDoS Proxy (Chinese Mainland) : choisissez la région Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland) : choisissez la région Outside Chinese Mainland.

3. Dans le volet de navigation de gauche, cliquez sur Security Overview. Sur la page Security Overview, cliquez sur l'onglet Instance pour afficher les informations suivantes.

   Fonctionnalité	Description
   Bandwidth	Anti-DDoS Proxy (Chinese Mainland) : fournit un graphique de tendance Bandwidth qui affiche les tendances du trafic entrant, du trafic sortant, du trafic d'attaque et du trafic limité pour une instance sur une période donnée, en bps ou en pps. Anti-DDoS Proxy (Outside Chinese Mainland) propose trois onglets : Overview (identique au graphique de tendance de la bande passante), Inbound Traffic Distribution (répartition du trafic entrant) et Outbound Traffic Distribution (répartition du trafic sortant).
   Connections	Concurrent Connections : nombre de connexions TCP établies simultanément entre les clients et Anti-DDoS Proxy. Connexion active : nombre de connexions TCP à l'état Established. Connexion inactive : nombre de connexions TCP dans tout état autre que Established. New Connections : nombre de nouvelles connexions TCP établies par seconde entre les clients et Anti-DDoS Proxy.
   Network Layer Attack Events, Alert on Exceeded Upper Limits et Destination Rate Limit Events	Network Layer Attack Events : Survolez une adresse IP ou un port attaqué pour afficher les détails, tels que le type d'attaque, le pic et le résultat de l'atténuation. Alerts on Exceeded Upper Limits : Les types d'événements incluent la bande passante du service, les nouvelles connexions et les connexions simultanées. Une alerte est déclenchée si une métrique dépasse les limites de votre plan. Bien que cela n'affecte pas vos services, nous vous recommandons de mettre à niveau votre instance. Pour plus d'informations, consultez la rubrique Mettre à niveau une instance. Cliquez sur Details dans la colonne Status pour accéder à la page System Logs et obtenir plus d'informations. Remarque Les données relatives à ces alertes, couvrant la veille, sont mises à jour tous les lundis à 10 h 00 (GMT+8). Si vous avez configuré des notifications, vous les recevrez au même moment. Destination Rate Limit Events Lorsque des métriques telles que les nouvelles connexions, les connexions simultanées ou la bande passante du service dépassent considérablement les spécifications de l'instance, une politique de limitation du débit est déclenchée. Cela affecte votre service et génère un événement de limitation du débit de destination. Si la limitation du débit est déclenchée par un trafic de service normal, mettez à niveau votre instance dès que possible. Pour plus d'informations, consultez la rubrique Mettre à niveau une instance. Si la limitation du débit est déclenchée par une attaque DDoS, ajustez rapidement vos politiques de protection. Pour plus d'informations, consultez la rubrique Paramètres de protection. Cliquez sur Details dans la colonne Status pour accéder à la page System Logs et obtenir plus d'informations.
   Service Distribution by Location et Service Distribution by ISP	Service Distribution by Location : répartition des régions sources pour le trafic de service normal. Service Distribution by ISP : répartition des fournisseurs d'accès Internet (FAI) pour le trafic de service normal.

Aperçu de la protection pour les noms de domaine

Anti-DDoS Proxy affiche les informations de service et les détails des événements d'attaque DDoS pour chaque nom de domaine.

1. Connectez-vous à la console Anti-DDoS Proxy.

2. Dans la barre de navigation supérieure, sélectionnez la région de votre instance.

   • Anti-DDoS Proxy (Chinese Mainland) : choisissez la région Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland) : choisissez la région Outside Chinese Mainland.

3. Dans le volet de navigation de gauche, cliquez sur Security Overview. Sur la page Security Overview, cliquez sur l'onglet Websites pour afficher les informations suivantes.

   • Affichage du QPS total par instance

     Dans la liste déroulante All Domain Names, cliquez sur Total QPS by Instance, sélectionnez les adresses IP dédiées, puis cliquez sur OK.

     Fonctionnalité	Description
     Request Rate (QPS)	Affiche la tendance du taux de requêtes pour chaque instance Anti-DDoS Proxy. La granularité temporelle varie selon la plage de temps spécifiée.
     Status Codes and Requests	Affiche le nombre cumulé de codes de réponse renvoyés par l'instance Anti-DDoS Proxy dans chaque intervalle de temps. 2XX : la requête a été reçue, comprise et acceptée avec succès par le serveur. Remarque La catégorie 2XX inclut tous les codes de réponse de 200 à 299. 3XX : le client doit effectuer une action supplémentaire pour terminer la requête. Ces codes de statut sont généralement utilisés pour la redirection. 4XX : une erreur peut s'être produite côté client, empêchant le serveur de traiter la requête. 5XX : une erreur ou une exception s'est produite pendant le traitement de la requête par le serveur.

   • Affichage du QPS par nom de domaine

     Dans la liste déroulante All Domain Names, cliquez sur QPS by Domain, sélectionnez les noms de domaine, puis cliquez sur OK.

     Fonctionnalité	Description
     Request Rate (QPS)	Affiche la tendance du taux de requêtes pour chaque nom de domaine. La granularité temporelle varie selon la plage de temps spécifiée.
     Bandwidth	Affiche la tendance de la bande passante entrante et sortante de pointe pour le nom de domaine. Remarque Seul le champ de charge utile (payload) est comptabilisé. Cela peut entraîner un écart par rapport au graphique de tendance bps au niveau de l'instance.
     Status Codes and Requests	Comprend les codes de réponse provenant à la fois d'Anti-DDoS Proxy et du serveur d'origine. Le nombre enregistré correspond à la valeur cumulative dans chaque intervalle de granularité temporelle. La liste suivante décrit les codes de réponse : 2XX : la requête a été reçue, comprise et acceptée avec succès par le serveur. Remarque 2XX inclut tous les codes de statut de 200 à 299. 200 : la requête a abouti. 3XX : le client doit effectuer une action supplémentaire pour terminer la requête. Ces codes de statut sont généralement utilisés pour la redirection. 4XX : une erreur peut s'être produite côté client, empêchant le serveur de traiter la requête. Remarque 4XX inclut tous les codes de statut de 400 à 499. 403 : le serveur a compris la requête du client mais a refusé d'y répondre. 404 : le serveur n'a pas pu trouver la ressource demandée par le client. 405 : le serveur a compris le chemin d'accès à la ressource de la requête du client, mais la méthode HTTP utilisée dans la requête, telle que GET, POST, PUT ou DELETE, n'est pas autorisée pour cette ressource. 410 : la ressource demandée a été définitivement supprimée du serveur. 499 : le client a annulé la requête avant que le serveur ne termine son traitement. 5XX : une erreur ou une exception s'est produite pendant le traitement de la requête par le serveur. Remarque 5XX inclut tous les codes de statut de 500 à 599. 502 : Anti-DDoS Proxy, agissant en tant que serveur proxy, a reçu une réponse invalide du serveur amont lors de la tentative de traitement de la requête. 503 : le serveur ne peut pas actuellement traiter la requête, probablement en raison d'une maintenance temporaire du serveur ou d'une surcharge. 504 : Anti-DDoS Proxy, agissant en tant que serveur proxy, n'a pas reçu de réponse dans les délais impartis de la part du serveur amont lors de la tentative de traitement de la requête.
     URI Requests, URI Response Time, etc.	Affiche les 5 premières valeurs pour les métriques correspondantes. Cliquez sur More pour afficher davantage de données. Les métriques incluent le nombre de requêtes URI, le temps de réponse URI, User-Agent, Referer, HTTP-Method, l'empreinte TLS du client, l'empreinte HTTP/2,0, l'empreinte JA3 et l'empreinte JA4. Pour plus d'informations sur chaque métrique, consultez la rubrique Annexe 1 : Champs de requête HTTP pris en charge. Remarque Le temps de réponse URI correspond au délai, en millisecondes, entre la réception d'une requête par Anti-DDoS Proxy et le renvoi d'une réponse. La valeur affichée représente le temps de réponse maximal enregistré pour un URI durant la période sélectionnée.
     Application Layer Scrubbing Events	Survolez un nom de domaine pour afficher les détails de l'attaque, tels que le pic d'attaque et le type.
     Source Location	Répartition des régions sources d'accès.
     Cache Hit Ratio	Cette métrique est disponible uniquement si la fonctionnalité de mise en cache des pages statiques est activée. Pour plus d'informations, consultez la rubrique Laboratoire de protection DDoS.

Définir un seuil d'alerte

Pour éviter un nombre excessif d'alertes lors d'attaques DDoS volumineuses, la politique par défaut d'Anti-DDoS Proxy génère une alerte uniquement lorsque le trafic entrant atteint ou dépasse 500 Mbit/s et que le trafic nettoyé (scrubbing) dépasse 100 Mbit/s. Si votre service génère un faible trafic, vous pouvez définir un seuil d'alerte personnalisé afin de recevoir des notifications pour les attaques inférieures aux limites par défaut. Cela permet de résoudre les situations où vous observez du trafic nettoyé dans la console sans qu'un événement d'attaque correspondant ne soit généré.

1. Connectez-vous à la console Anti-DDoS Proxy.

2. Dans la barre de navigation supérieure, sélectionnez la région de votre instance.

   • Anti-DDoS Proxy (Chinese Mainland) : choisissez la région Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland) : choisissez la région Outside Chinese Mainland.

3. Dans le volet de navigation de gauche, cliquez sur Security Overview. Dans la zone Set Alert Threshold de la page Security Overview, configurez un seuil d'alerte d'attaque personnalisé.

   Dans la boîte de dialogue Set Alert Threshold, définissez Attack Type sur DDoS High-Volume Attack. Pour Alert Threshold, sélectionnez Default ou Inbound Bandwidth. Si vous sélectionnez Inbound Bandwidth, saisissez un seuil compris entre 100 et 10 000 Mbit/s.

   • Le seuil s'applique à la bande passante entrante totale reçue par une seule adresse IP de l'instance Anti-DDoS Proxy.

   • Le trafic entrant inclut à la fois le trafic d'attaque et le trafic de service.

   • Un événement d'alerte est généré lorsque le trafic entrant est supérieur ou égal au seuil personnalisé et que le trafic nettoyé est supérieur à 100 Mbit/s.

   • Ce paramètre s'applique à toutes les adresses IPv4 de l'instance Anti-DDoS Proxy. Vous ne pouvez pas définir de seuil personnalisé pour les adresses IPv6.