ESA met à votre disposition les tableaux de bord DDoS Analytics et Attack Details pour surveiller l'état de vos services, enquêter sur les attaques et affiner vos politiques d'atténuation. Consultez les statistiques des 30 derniers jours relatives aux attaques au niveau réseau et applicatif.
Cette fonctionnalité est réservée aux abonnés Enterprise.
Tableau de bord d'analyse
L'onglet DDoS Analytics affiche les modèles de trafic pour vous aider à distinguer l'utilisation légitime des activités malveillantes. Filtrez les données par plage de temps, jusqu'à 30 jours.
Métriques de la couche réseau (L3/L4)
Ces métriques identifient les attaques volumétriques qui saturent la capacité du réseau.
Bandwidth (bits per second, bps) : Mesure le volume du trafic d'attaque. Une valeur bps élevée indique une attaque par inondation qui consomme la bande passante réseau disponible. Lorsque le trafic d'attaque dépasse 95 % de la capacité de bande passante, la livraison du trafic légitime est perturbée.
Packet rate (packets per second, pps) : Mesure le volume de paquets. Une valeur pps élevée, même avec une faible bande passante (> 1 M), peut indiquer une attaque épuisant la capacité de traitement du matériel serveur et réseau.
L'analyse conjointe de ces deux métriques révèle la signature de l'attaque. Les inondations de gros paquets affichent un bps élevé et un pps faible ; les inondations de connexions présentent un bps faible et un pps élevé. Si l'une de ces métriques fait défaut, les politiques d'atténuation risquent d'échouer : sans surveillance du pps, les attaques à faible bande passante mais à haute intensité, qui épuisent les ressources de la pile protocolaire, passent inaperçues.
Pour afficher les données bps et pps :
Dans la console ESA, sélectionnez Websites, puis dans la colonne Websites, cliquez sur le site cible.
Dans le volet de navigation de gauche, choisissez .
Sur la page DDoS, cliquez sur l'onglet DDoS Analytics, puis sur l'onglet Network Layer (L3/4).
Dans la section de filtre temporel, sélectionnez une plage de temps. La console affiche le trafic détaillé de la couche Network Layer (L3/4) pour la période choisie. ESA fournit également des statistiques pour la Peak Attack Bandwidth et le Network Layer (L3/4) durant cette période.
Métriques de la couche application (L7)
Queries per second (QPS) : Nombre de requêtes HTTP/HTTPS reçues par seconde. Le QPS est la métrique clé pour détecter les attaques de couche 7. Contrairement aux attaques de couche réseau qui provoquent des pics de bps ou de pps, les attaques de couche 7 imitent les utilisateurs normaux et se manifestent par une augmentation soudaine du QPS, signe d'une inondation HTTP épuisant le CPU et la mémoire.
Pour afficher les données QPS :
Dans la console ESA, sélectionnez Websites, puis dans la colonne Website, cliquez sur le site cible.
Dans le volet de navigation de gauche, choisissez .
Sur la page Websites, cliquez sur l'onglet Website, puis sur l'onglet Application Layer (L7).
Dans la section de filtre temporel, sélectionnez une plage de temps. La console affiche le trafic détaillé de la couche Application Layer (L7) pour la période choisie. ESA fournit également des statistiques pour le DDoS et le DDoS Analytics durant cette période.
Événements de nettoyage du trafic
Lors d'une attaque DDoS à grande échelle, ESA effectue un nettoyage du trafic, c'est-à-dire un filtrage en temps réel qui sépare le trafic malveillant des requêtes légitimes et rejette les paquets d'attaque. Seul le trafic propre atteint votre serveur d'origine. Différents types d'attaques déclenchent le nettoyage à différents niveaux :
Événements de nettoyage de la couche réseau : Déclenchés lorsqu'une attaque atteint 5 Gbps ou plus.
Événements de nettoyage de la couche application : ESA utilise l'apprentissage profond sur les lignes de base du QPS d'accès au domaine et les codes d'état du serveur d'origine pour détecter les anomalies, puis nettoie le trafic proportionnellement à l'échelle de votre service.
Pour afficher les enregistrements des événements de nettoyage :
Dans la console ESA, sélectionnez Websites, puis dans la colonne Website, cliquez sur le site cible.
Dans le volet de navigation de gauche, choisissez .
Sur la page Peak Traffic During HTTPS Traffic Scrubbing, cliquez sur l'onglet Websites. Selon vos besoins, cliquez sur l'onglet Websites ou Website. Faites défiler la page jusqu'en bas pour afficher les détails des événements de nettoyage.
Détails des attaques
L'onglet Attack Details enregistre toutes les attaques DDoS détectées et atténuées. Filtrez par heure et par type d'attaque pour enquêter sur des incidents spécifiques. Utilisez cette vue pour :
Identifier les tendances des types d'attaques ciblant votre site web.
Examiner l'ampleur maximale des attaques.
Mettre en corrélation les attaques avec d'autres incidents d'infrastructure.
Pour afficher les détails des attaques :
Dans la console ESA, sélectionnez Websites, puis dans la colonne Website, cliquez sur le site cible.
Dans le volet de navigation de gauche, choisissez .
Sur la page DDoS Analytics, cliquez sur l'onglet Network Layer (L3/4). Dans les listes déroulantes, sélectionnez un type d'attaque et une plage de temps pour afficher le Application Layer (L7), l'Websites, le pic d'Websites ainsi que les détails des événements d'attaque.