Des pics soudains de bande passante et de transfert de données, provoqués par des attaques malveillantes ou un abus de trafic, peuvent faire grimper votre facture bien au-delà de vos dépenses habituelles. Ces frais ne peuvent être ni annulés ni remboursés. Vous pouvez éviter ces risques en configurant une protection de sécurité et en gérant votre trafic.
Risque de factures élevées dues à une activité malveillante
Lorsqu'une attaque ou un abus de trafic provoque un pic soudain de bande passante, les ressources de bande passante d'ESA sont effectivement consommées. Vous êtes responsable de tous les coûts de bande passante et de transfert de données qui en résultent.
Conséquence : les frais peuvent dépasser le solde de votre compte
Les attaques malveillantes et les abus de trafic entraînent facilement des factures élevées. Le risque indirect est que le montant facturé dépasse souvent le solde disponible de votre compte.
Une fois le trafic prépayé pour l'ESA épuisé, le service passe en mode paiement à l'utilisation et génère des factures. Le service ne peut pas être suspendu immédiatement lorsque le solde de votre compte atteint zéro. Ce décalage est dû à des facteurs tels que le cycle de facturation (par exemple, facturation horaire, quotidienne ou mensuelle) et les délais de traitement de la facturation. Par exemple, l'ESA d'Alibaba Cloud présente un délai de facturation de 3 à 4 heures. Par conséquent, votre compte peut afficher un solde impayé, ou le solde impayé d'une seule facture peut dépasser votre limite de découvert autorisé.
Alibaba Cloud propose une fonctionnalité de protection contre la suspension de service. Si vous activez cette fonctionnalité et que votre compte présente un paiement en retard, vous bénéficiez d'une limite de découvert ou d'un délai de grâce pour continuer à utiliser les services cloud. Cette autorisation est basée sur des facteurs tels que votre niveau client et votre historique de dépenses, et elle est automatiquement calculée et mise à jour chaque mois.
Examiner les frais inattendus
Les factures élevées sont principalement causées par des pics de trafic dus à un accès malveillant, ce qui fait grimper les coûts bien au-dessus des niveaux normaux. Si votre facture est plus élevée que prévu, suivez les étapes ci-dessous pour identifier la source des frais et confirmer la plage horaire concernée ainsi que les éléments facturables.
Connectez-vous à la console Alibaba Cloud. Dans la barre de navigation supérieure, choisissez Billing > Billing Management pour afficher les détails de la facture. Sélectionnez un cycle de facturation et identifiez la plage horaire concernée ainsi que les éléments facturables correspondants.
Connectez-vous à la console ESA. Dans le volet de navigation de gauche, choisissez Billing Management > Usage Inquiry, puis comparez l'utilisation réelle de chaque élément de comptabilisation. Confirmez si les données d'utilisation pour la plage horaire concernée correspondent à la facture.
Pour circonscrire l'enquête à un seul nom de domaine, ouvrez la page de surveillance des ressources dans la même console, sélectionnez le nom de domaine cible et interrogez ses données d'utilisation. Cela permet de confirmer quel nom de domaine est à l'origine du trafic anormal.
Identifier la cause d'un pic de trafic
En cas de pic de trafic anormal, commencez par consulter la page Analytics pour identifier la cause du trafic anormal (par exemple, les adresses IP clientes les plus fréquentes ou les referers les plus courants). Vous pouvez également utiliser la fonction Analyze real-time logs pour déterminer la cause du pic de bande passante.
Méthode d'investigation | Description |
Edge Security Acceleration (ESA) regroupe les journaux standard toutes les heures. Téléchargez les journaux d'accès au site pour n'importe quelle période au cours des 31 derniers jours et enregistrez-les localement afin d'optimiser les politiques d'accélération, de diagnostiquer les problèmes et d'analyser le comportement des utilisateurs. | |
Collectez des journaux en temps réel à partir de systèmes, d'applications ou d'appareils et acheminez-les vers une destination de votre choix pour la surveillance de la sécurité, le dépannage et l'optimisation des performances. |
Solutions
L'ESA d'Alibaba Cloud détecte les pics de bande passante. Si un trafic anormal est détecté, il évalue votre trafic commercial normal et la charge globale du trafic anormal. Sur la base de cette évaluation, il décide s'il convient d'appliquer des mesures telles que la limitation du débit du trafic en rafale ou sa convergence vers des nœuds ESA spécifiques. Ces mesures maintiennent la stabilité pour tous les utilisateurs du réseau. La limitation du débit et la convergence vers des nœuds ESA spécifiques ne sont pas déclenchées dans tous les cas. Pour plus d'informations, consultez les règles de Limitation du débit de la bande passante en rafale et des QPS dans les limites d'utilisation. Alibaba Cloud n'est pas responsable des problèmes de disponibilité résultant de ces mesures.
Pour garantir le bon fonctionnement de vos services et éviter des factures élevées, activez les fonctionnalités de protection ou configurez le contrôle d'accès pour votre trafic comme décrit dans les sections suivantes.
Configurer la protection de sécurité
Mesure de protection | Description |
Si votre site web nécessite des politiques de contrôle d'accès personnalisées, vous pouvez créer des règles personnalisées. Une règle personnalisée vous permet de définir des conditions de correspondance pour les requêtes entrantes et de spécifier une action, telle que le blocage ou la surveillance, pour les requêtes correspondantes. Cela vous offre un contrôle flexible sur le contenu auquel les utilisateurs peuvent accéder. | |
Les règles de limitation du débit contrôlent le taux des requêtes entrantes qui correspondent à des conditions spécifiques. Lorsqu'un client dépasse le seuil de requêtes configuré, la limitation du débit applique des actions telles que la vérification par CAPTCHA à glissière ou le blacklisting temporaire de l'adresse IP. | |
Les règles gérées sont des règles de protection ESA intégrées et intelligentes qui défendent contre les attaques OWASP et les dernières vulnérabilités du serveur d'origine, notamment l'injection SQL, le XSS, l'exécution de code, le CRLF, l'inclusion de fichiers distants et les WebShell. Activez la protection sans configuration ni mise à jour manuelle des règles. | |
La protection contre les analyses identifie les comportements et les signatures des scanners pour bloquer les analyses à grande échelle contre votre site web, puis bloque ou met sur liste noire la source de l'attaque afin de réduire le risque d'intrusion et le trafic indésirable. | |
Les règles de liste d'autorisation permettent à certaines requêtes de contourner tout ou partie des modules de protection WAF, évitant ainsi les faux positifs provenant de services internes ou de partenaires connus. | |
ESA propose deux modes, Smart Mode et Professional Mode, pour répondre à différents besoins de protection. | |
ESA surveille le trafic en temps réel pour identifier les modèles d'attaque tels que les inondations SYN, les inondations ACK et les attaques CC. Lorsqu'il détecte un trafic inhabituel, ESA bloque rapidement les requêtes malveillantes tout en permettant au trafic légitime de passer, garantissant ainsi la continuité des activités. |
Gérer le trafic
Utilisez CloudMonitor pour définir des règles de surveillance de la bande passante au niveau du service ou du nom de domaine. Cela vous permet de rester informé de l'utilisation du transfert de données et de la bande passante, et d'envoyer des alertes en cas d'activité anormale. En cas de pic de bande passante anormal, vous pouvez également configurer des politiques telles que la limitation de la bande passante et la limitation du taux de requêtes pour le nom de domaine.
Fonctionnalité de gestion du trafic | Description |
Définir la limitation de la bande passante | Si vous devez appliquer une limitation de la bande passante à la bande passante ESA et que votre bande passante de pointe quotidienne est d'au moins 10 Gbps, vous pouvez soumettre un ticket pour demander cette configuration. Important La limitation de la bande passante définit la limite totale de bande passante réseau pour un nom de domaine. Pour garantir une limitation précise, la valeur de limitation de la bande passante doit être d'au moins 10 Gbps. Une fois la limite de bande passante (par exemple, 10 Gbps) atteinte, ESA limite le débit du nom de domaine. La vitesse d'accès diminue alors pour les utilisateurs (chaque requête ralentit) et des pertes de paquets peuvent se produire. La limitation de la bande passante est déclenchée par les données de surveillance en temps réel du nom de domaine, qui présentent un délai d'environ 10 minutes. Par conséquent, le nom de domaine est limité environ 10 minutes après que sa bande passante réelle a atteint le seuil, moment où la bande passante réelle est probablement supérieure au seuil. |
Définir la surveillance en temps réel | Pour surveiller la bande passante de pointe d'un nom de domaine en temps réel, utilisez la fonctionnalité Cloud Product Monitoring de CloudMonitor afin de surveiller la bande passante de pointe d'un nom de domaine spécifique sous ESA. Lorsque la bande passante de pointe configurée est atteinte, une alerte est envoyée à l'administrateur par SMS, e-mail ou DingTalk, ce qui permet de détecter plus rapidement les risques potentiels. Pour plus d'informations, consultez la page produit de CloudMonitor. |
Définir des alertes de dépenses | Dans la barre de navigation supérieure de la console, choisissez Billing > Billing Management. Utilisez les fonctionnalités suivantes pour contrôler les dépenses de votre compte et éviter des factures excessives. Alerte de solde disponible : Configurez une alerte SMS envoyée lorsque le solde de votre compte descend en dessous d'un montant spécifié. Protection contre la suspension de service : Vous pouvez désactiver cette fonctionnalité afin que vos services s'arrêtent dès qu'un paiement est en retard, ce qui empêche des frais supplémentaires. Pour plus d'informations, consultez la rubrique . Alerte de facture élevée : Activez une alerte SMS envoyée lorsque la facture quotidienne d'un service dépasse le seuil d'alerte. Remarque Pour garantir l'exhaustivité des données de comptabilisation et l'exactitude des factures, ESA génère la facture réelle environ 3 à 4 heures après la fin d'un cycle de facturation. |