Cloud Firewall:Network traffic analysis FAQ

Le trafic peut être classé comme Unknown pour les raisons suivantes :

• Les volumes élevés de trafic entrant depuis Internet peuvent ne pas utiliser de protocoles standard. Par conséquent, Cloud Firewall ne parvient pas à identifier le type d'application.

• Un serveur de destination peut bloquer le trafic réseau et envoyer un grand nombre de paquets RST. Ces paquets sont enregistrés en tant que trafic entrant ou sortant. Si le volume de ces paquets est important, ils augmentent la proportion de trafic Unknown.

Un tag d'intelligence est un attribut que Cloud Firewall attribue automatiquement à un domaine sortant ou à une adresse IP de destination sur la base d'informations publiques. Parmi les exemples figurent Malicious Download, Miner Pool, Threat Intelligence, First Time, Epoch, Popular Website et DDoS Trojan. Pour plus d'informations sur les tags d'intelligence, accédez à la page Outbound Connection.

• Malicious Download, Miner Pool et Threat Intelligence : indiquent que Cloud Firewall a détecté une menace associée à une connexion sortante.

  Remarque

  Examinez rapidement les activités sortantes portant ces tags pour vérifier s'il s'agit de faux positifs. Si vous confirmez que l'activité est malveillante, configurez une politique de contrôle d'accès pour la gérer. Pour plus d'informations, consultez la section Configure access control policies for the Internet firewall.

• First Time : indique que Cloud Firewall a détecté cette connexion sortante pour la première fois.

• Epoch : indique que votre ressource se connecte périodiquement au domaine ou à l'adresse IP de destination spécifiés.

• Popular Website : indique un domaine fréquemment consulté par vos serveurs ou services.

• DDoS Trojan : indique que Cloud Firewall a détecté une connexion sortante associée à une menace d'attaque DDoS.

Lorsque le trafic traverse Cloud Firewall, vous pouvez rencontrer les problèmes suivants :

• Vous ne parvenez pas à vous connecter à un serveur.

• Vous ne parvenez pas à accéder aux services exécutés sur un serveur.

• Un serveur ne parvient pas à accéder à Internet.

Pare-feu Internet

1. Vérifiez que le pare-feu Internet est activé pour votre ressource.

   Le trafic ne traverse Cloud Firewall qu'une fois le pare-feu Internet activé. Pour plus d'informations sur l'activation du pare-feu, consultez la section Internet firewall.

   Remarque

   Si le pare-feu Internet n'est pas activé pour votre ressource, le trafic ne traverse pas Cloud Firewall. Dans ce cas, vérifiez l'existence d'autres problèmes, tels que des problèmes de connectivité réseau.

2. Consultez l'onglet Traffic Logs pour rechercher les enregistrements de trafic correspondants.

   • Si aucun journal de trafic n'est trouvé, le trafic a été supprimé avant d'atteindre le pare-feu.

   • Si des journaux de trafic existent et que l'action est Drop, le trafic a été supprimé par le pare-feu Internet. Dans ce cas, recherchez le trafic correspondant dans la liste Event Logs et vérifiez la colonne Judgement Source pour identifier le module qui a bloqué le trafic.

     • Si la source est Access Control, le trafic a été bloqué par l'une de vos politiques de contrôle d'accès. Examinez et modifiez la configuration de la politique.

     • Si la source est Basic Protection, Virtual Patching ou Threat Intelligence, le trafic a été bloqué par une politique de prévention des intrusions. Accédez à la page Protect > IPS Configuration pour désactiver la politique responsable.

   • Si des journaux de trafic existent et que l'action est Allow ou Monitor, le trafic n'a pas été supprimé par le pare-feu Internet. Dans ce cas, continuez à résoudre le problème de la politique du pare-feu interne (groupe de sécurité).

Pare-feu interne (groupe de sécurité)

1. Connectez-vous à la console ECS.

2. Dans le volet de navigation de gauche, choisissez Instances & Images > Instance.

3. Recherchez l'instance ECS rencontrant des problèmes de connectivité. Sous l'onglet Security Group, accédez à l'onglet Security Group List et vérifiez que les règles du groupe de sécurité autorisent le trafic. La valeur de Authorization policy doit être définie sur Allow.

Dans Cloud Firewall, le trafic réseau est évalué par rapport aux règles dans l'ordre suivant :

1. Politique de contrôle d'accès (ACL) Si vous activez une politique de contrôle d'accès, le système fait d'abord correspondre le trafic avec les règles de la politique :

   • Si le trafic correspond à une règle avec l'action Deny, il est immédiatement bloqué et aucune autre évaluation n'a lieu.

   • Si le trafic correspond à une règle avec l'action Allow ou Monitor, ou si aucune règle ACL ne correspond, l'évaluation passe à l'étape suivante.

2. Threat Intelligence (TI) Le système fait ensuite correspondre le trafic avec la base de données Threat Intelligence :

   • Si le trafic correspond à une menace et que l'action est Block, l'évaluation s'arrête.

   • Sinon, l'évaluation passe à l'étape suivante.

3. Module Intrusion Prevention System (IPS) Le module IPS évalue le trafic par rapport aux ensembles de règles Basic Protection, Intelligent Defense et Virtual Patching. Ces trois ensembles de règles n'ont pas de priorité spécifique et le système fait correspondre le trafic avec chacun d'eux. Si une règle déclenche une action Block, le trafic est supprimé. Sinon, le trafic est autorisé une fois toutes les vérifications terminées.

Gestion des dépassements de trafic

Si votre trafic de service dépasse la spécification de bande passante achetée, l'accord de niveau de service (SLA) n'est pas garanti. Ce dépassement peut entraîner une dégradation du service, qui peut inclure, mais sans s'y limiter : la désactivation des fonctionnalités de sécurité telles que le contrôle d'accès, IPS et Log Audit ; le contournement du pare-feu pour les ressources à fort trafic ; et la perte de paquets due à la limitation du débit.

• Si vous prévoyez que le trafic dépassera votre limite achetée, utilisez la fonctionnalité subscription elastic traffic pay-as-you-go.

• Pour obtenir des informations sur la résolution des problèmes de trafic inhabituel, consultez la section Troubleshoot unusual traffic on the Internet border.

• Pour obtenir des informations sur la mise à niveau de votre bande passante, consultez la section Renewal.