Anti-DDoS:Afficher les détails d'un événement de trou noir

Informations générales

• Alibaba Cloud fournit gratuitement une capacité de base d'atténuation des attaques DDoS comprise entre 500 Mbit/s et 5 Gbit/s pour certains services (Anti-DDoS Basic). Lorsque la bande passante de pointe d'une attaque DDoS dépasse cette capacité d'atténuation, Alibaba Cloud applique la politique de filtrage par trou noir et bloque tout le trafic entrant vers le service. Cette mesure permet d'éviter des dommages plus importants au service et empêche qu'une attaque DDoS ciblant une seule adresse IP n'affecte le fonctionnement normal des autres services sur le réseau. Pour plus d'informations sur le filtrage par trou noir, consultez la rubrique Politique de filtrage par trou noir d'Alibaba Cloud.

• Anti-DDoS Basic ne prend pas en charge la désactivation manuelle du filtrage par trou noir. Le système désactive automatiquement le filtrage uniquement après l'arrêt de l'attaque DDoS pendant une certaine période.

• Pour connaître les seuils de déclenchement du trou noir des services Alibaba Cloud, consultez les rubriques Afficher les seuils qui déclenchent le filtrage par trou noir dans Anti-DDoS Basic et Configurer les seuils de nettoyage du trafic.

Champ d'application

• Si l'adresse IP de la ressource est une adresse IPv4, vous pouvez afficher les détails uniquement dans les 7 jours suivant l'événement de filtrage par trou noir. Si l'adresse IP de la ressource est une adresse IPv6, vous pouvez afficher les détails uniquement dans les 3 heures suivant l'événement. Une fois ce délai écoulé, l'option View Details est grisée et il est impossible de consulter les détails.

• Si la ressource est une AnycastEIP, l'option View Details est grisée et vous ne pouvez pas afficher les détails de l'événement de filtrage par trou noir.

• Si la ressource a été libérée, vous ne pouvez pas afficher les détails de l'événement de filtrage par trou noir.

Procédure

1. Connectez-vous à la console Traffic Security. Dans le volet de navigation de gauche, sélectionnez DDoS.

2. Dans le volet de navigation de gauche, cliquez sur Event Center.

3. Saisissez l'adresse IP de la ressource, définissez le type d'événement sur Blackhole, sélectionnez une plage de temps, puis cliquez sur Search pour afficher les événements historiques de filtrage par trou noir.

4. (Facultatif) Dans la colonne Actions , cliquez sur View Details pour afficher les graphiques de tendance du Traffic et du Inbound Traffic (pps) lors de l'événement de filtrage par trou noir.

5. (Facultatif) Dans la section Traffic de la page de détails, cliquez sur Download pour télécharger les preuves de l'attaque.

FAQ

• Comment connaître l'heure exacte de la désactivation du filtrage par trou noir ?

  Il est impossible de consulter l'heure exacte de désactivation et la désactivation manuelle n'est pas prise en charge. Pour plus d'informations, consultez la rubrique Désactiver le filtrage par trou noir.

  • Désactivation automatique : le système efface automatiquement le statut de filtrage par trou noir après avoir détecté que l'attaque a cessé pendant une certaine période. Vous ne pouvez pas désactiver manuellement le filtrage par trou noir à l'avance, ni consulter l'heure exacte de désactivation ou estimer le temps de rétablissement du service.

  • Durée de référence :

    • Durée par défaut : environ 2,5 heures.

    • Plage : généralement entre 30 minutes et 24 heures.

    • Facteurs influents : la durée exacte dépend de la durée, du type et de la fréquence de l'attaque, ainsi que de la charge globale du réseau Alibaba Cloud.

• Quels noms de domaine sont affectés lorsqu'une adresse IP entre en filtrage par trou noir ?

  Le filtrage par trou noir s'applique au niveau de l'adresse IP. Tous les noms de domaine qui résolvent vers cette adresse IP deviennent inaccessibles.

  • Impact général : la politique de filtrage par trou noir s'applique au niveau de l'adresse IP plutôt qu'au niveau applicatif (noms de domaine). Lorsqu'une adresse IP entre en mode trou noir, tout le trafic entrant destiné à cette adresse IP est abandonné. Par conséquent, tous les noms de domaine qui résolvent vers l'adresse IP mise en trou noir deviennent inaccessibles.

  • Remarques spéciales pour les utilisateurs de WAF (Web Application Firewall) :

    • Risque : si vous utilisez WAF et que l'adresse IP attaquée est l'adresse IP virtuelle (VIP) de l'instance WAF, l'impact peut s'étendre à tous les noms de domaine associés à l'instance.

    • Cause : plusieurs noms de domaine partagent généralement la même VIP WAF. Le trafic externe est entièrement bloqué au stade de l'adresse IP de la couche réseau avant d'atteindre WAF pour le transfert au niveau du domaine.

    • Conséquence : dès que la VIP WAF entre en filtrage par trou noir, l'accès à tous les noms de domaine attachés à l'instance WAF est interrompu simultanément.

    • Dépannage : pour confirmer la liste des noms de domaine affectés, connectez-vous à la console WAF et consultez les configurations de tous les noms de domaine attachés à l'instance.

Références

• Comment choisir un produit Anti-DDoS : Anti-DDoS Basic est un service gratuit dont la capacité d'atténuation est limitée. Pour éviter tout impact sur votre activité, déployez une solution commerciale d'atténuation des attaques DDoS.

• Restaurer les charges de travail après le déclenchement du filtrage par trou noir sur une instance Elastic Compute Service (ECS) : vous pouvez vous connecter à un serveur pour lequel le filtrage par trou noir a été déclenché afin de transférer des fichiers ou de modifier des configurations.