Cloud Firewall:Troubleshoot traffic tidak biasa di Batas Internet

Cara Cloud Firewall menghitung traffic Batas Internet

Cloud Firewall mengukur traffic di Batas Internet berdasarkan bandwidth puncak tertinggi antara total lalu lintas masuk (inbound) dan lalu lintas keluar (outbound). Bandwidth total untuk masing-masing arah dihitung sebagai berikut:

• Inbound bandwidth = Bandwidth permintaan Eksposur Internet + Bandwidth respons Eksposur Internet

• Outbound bandwidth = Bandwidth permintaan Koneksi Keluar + Bandwidth respons Koneksi Keluar

Bandwidth puncak di Cloud Firewall dihitung dari data yang diagregasi sepanjang waktu. Artinya, bandwidth total pada suatu waktu tertentu merupakan jumlah bandwidth permintaan dan respons pada waktu tersebut. Namun, bandwidth puncak yang dilaporkan untuk permintaan dan respons adalah nilai tertinggi yang terekam selama periode agregasi, yang mungkin tidak terjadi secara bersamaan. Oleh karena itu, bandwidth puncak total pada waktu tertentu selalu kurang dari atau sama dengan jumlah bandwidth puncak permintaan dan bandwidth puncak respons.

Kapan harus melakukan troubleshooting traffic tidak biasa

Lakukan troubleshooting traffic Anda saat mengamati puncak atau penurunan tidak biasa untuk mengidentifikasi IP aset spesifik yang terlibat dan memahami pola lalu lintasnya secara detail. Misalnya, temukan IP aset spesifik yang menyebabkan total traffic melebihi bandwidth terproteksi yang telah Anda beli.

Prosedur

Langkah 1: Identifikasi arah traffic abnormal

1. Masuk ke Konsol Cloud Firewall. Di panel navigasi sebelah kiri, klik Overview.

2. Di halaman Overview, periksa grafik Tren Lalu Lintas untuk menemukan waktu terjadinya puncak tidak biasa pada arah inbound atau outbound.

   Gambar berikut menunjukkan contoh di mana traffic inbound maupun outbound melebihi bandwidth yang dibeli pada pukul 15.00 tanggal 10 Oktober.

   Catatan

   Ketika traffic melebihi bandwidth terproteksi yang Anda beli, grafik tren akan menampilkan garis yang merepresentasikan bandwidth terproteksi tersebut, sehingga Anda dapat melihat seberapa besar traffic melebihi batas tersebut.

   

Langkah 2: Temukan IP aset abnormal

Langkah-langkah berikut menggunakan traffic inbound sebagai contoh. Prosedur untuk troubleshooting traffic outbound serupa, dengan perbedaan hanya pada lokasi grafik tren lalu lintas. Untuk traffic inbound, buka tab Analysis > Internet Exposure > Traffic Analytics. Untuk traffic outbound, buka tab Analysis > Outbound Connections > Traffic Analytics.

1. Di halaman Overview, pada bagian Traffic Trend, klik nilai puncak inbound untuk membuka tab Analysis > Internet Exposure > Traffic Analytics. Di sini, Anda dapat melihat bandwidth puncak inbound pada pukul 15.00 tanggal 10 Oktober.

2. Klik stempel waktu 15.00 pada timeline. Daftar Alamat IP publik akan menampilkan peringkat total traffic untuk semua aset bisnis Anda pada waktu tersebut. Gunakan peringkat ini untuk mengidentifikasi aset dengan traffic tidak biasa.

   Dalam contoh ini, IP aset 182.92.XX.XX merupakan sumber traffic tidak biasa karena total traffic-nya jauh lebih tinggi dibandingkan aset lainnya.

3. Untuk menyelidiki lebih dalam data traffic untuk IP aset tersebut, klik alamat IP-nya. Grafik tren di sebelah kanan akan menampilkan data traffic permintaan dan respons (inbound dan outbound) untuk aset spesifik tersebut.

   Setelah Anda mengklik IP aset, tag filter seperti ECS Public IP address: xxx akan muncul di area filter di bagian atas halaman. Gunakan daftar di sebelah kiri, yang menunjukkan peringkat traffic inbound untuk setiap Alamat IP publik, untuk menemukan IP dengan traffic tidak biasa.

Langkah 3: Analisis catatan lalu lintas

1. Di daftar Alamat IP publik, temukan alamat IP yang sedang Anda selidiki dan pilih More > View Logs. Aksi ini akan mengarahkan Anda ke tab Detection & Response > Log Audit > Traffic Logs > Internet Border. Karena Anda melakukan troubleshooting traffic inbound, kueri catatan lalu lintas untuk IP tujuan 182.92.XX.XX pada pukul 15.00 tanggal 10 Oktober.

2. Tinjau hasil kueri. Periksa Source IP Address, Source Port, dan Destination Port untuk menentukan apakah traffic tersebut sah.

   Di tab Internet Border, atur kondisi filter seperti destination IP dan time range, lalu klik Search. Tabel hasil juga menampilkan informasi seperti Application (misalnya SMTP atau SMTPS), protocol, Direction, dan Action.

3. Ambil tindakan lanjutan sesuai kebutuhan bisnis Anda.

   • Tingkatkan bandwidth Cloud Firewall

     Untuk informasi selengkapnya, lihat Renewal.

   • Optimalkan penerapan layanan

     Misalnya, jika layanan Anda perlu mengakses OSS atau SLS Alibaba Cloud, gunakan Titik akhir internal. Hal ini membantu menghemat biaya bandwidth publik.

   • Nonaktifkan Cloud Firewall untuk IP tertentu

     Untuk informasi selengkapnya, lihat Disable the internet border firewall.

Kueri traffic abnormal dengan SQL

Untuk mengkueri secara cepat semua traffic yang terkait dengan aset yang memiliki aktivitas tidak biasa, jalankan kueri SQL di halaman Detection & Response > Log Analysis > Logs.

• Kueri semua alamat IP tujuan dan port untuk koneksi keluar dari IP aset tidak biasa, lalu urutkan hasil berdasarkan volume traffic secara menurun.

  log_type:internet_log and src_ip:182.92.XX.XX | select dst_ip,dst_port,app_name,sum(in_packet_bytes) as in_B,sum(out_packet_bytes) as out_B,sum(total_packet_bytes) as total_B,array_agg(distinct if(url='', domain, url)) as url group by dst_ip,dst_port,app_name order by total_B desc

  Dalam kueri ini, 182.92.XX.XX adalah IP aset.

• Kueri semua alamat IP sumber dan port yang mengakses IP aset melalui Eksposur Internet, lalu urutkan hasil berdasarkan volume traffic secara menurun.

  log_type:internet_log and dst_ip:182.92.XX.XX | select src_ip,dst_port,app_name,sum(in_packet_bytes) as in_B,sum(out_packet_bytes) as out_B,sum(total_packet_bytes) as total_B,array_agg(distinct url) as url group by src_ip,dst_port,app_name order by total_B desc

  Dalam kueri ini, 182.92.XX.XX adalah IP aset.

Referensi

• Untuk melihat tren traffic keseluruhan untuk aset bisnis Anda dan memeriksa apakah melebihi cakupan proteksi yang Anda beli, lihat Overview.

• Untuk melihat bagaimana aset bisnis Anda mengakses Internet, termasuk melacak traffic keluar yang tidak biasa, destinasi Internet yang diakses oleh aset, koneksi keluar dari aset yang menghadap Internet, dan koneksi keluar dari aset internal, lihat Outbound Connection.

• Untuk melihat bagaimana Internet mengakses aset bisnis Anda, termasuk melacak traffic masuk yang tidak biasa, alamat IP publik yang diekspos oleh aset bisnis, port yang terbuka, aplikasi yang diekspos, dan jumlah alamat IP publik untuk layanan cloud, lihat Internet Exposure.

• Untuk melihat informasi tentang traffic Batas Internet, seperti IP sumber, port tujuan, protokol, aksi, byte aliran, dan paket aliran, lihat Log Audit.

• Untuk menggunakan kueri SQL guna menganalisis catatan traffic mentah dari Batas Internet, lihat Query and analyze logs.