このトピックでは、Cloud Firewall のネットワークトラフィック分析に関する一般的な問題とその解決策について説明します。
帯域幅制限を超えるトラフィックに関連する問題：
不明なアプリケーションのトラフィックが多い理由
トラフィックが [不明] として分類されるのは、以下の理由が考えられます：
インターネットからの大量のインバウンドトラフィックが標準プロトコルを使用していない場合があります。その結果、Cloud Firewall はアプリケーションタイプを識別できません。
宛先サーバーがネットワークトラフィックをブロックし、大量の RST パケットを送信することがあります。これらのパケットはインバウンドまたはアウトバウンドトラフィックとして記録されます。これらのパケットの量が多い場合、[不明] なトラフィックの割合が高くなります。
[ログ監査] ページに移動し、イベントログ タブまたは トラフィックログ タブで不明なトラフィックの送信元と目的を確認できます。この情報は、異常なトラフィックを特定するのに役立ちます。
トラフィック上位に不明な ISP が表示される理由
中国本土以外のリージョン (香港 (中国)、マカオ (中国)、台湾 (中国) など) からのインバウンドトラフィックの場合、ファイアウォールには国またはリージョン名のみが表示されます。その結果、インターネットサービスプロバイダー (ISP) は不明と表示されます。
[ログ監査] ページの トラフィックログ タブに移動して、IP アドレスの特定のリージョンとインターネットサービスプロバイダーを表示できます。
インテリジェンス タグ
インテリジェンス タグは、クラウドファイアウォールが公開されている情報に基づいてアウトバウンドドメインまたは宛先 IP アドレスに自動的に割り当てる属性です。 例として、[悪意のあるダウンロード]、[マイナープール]、脅威情報、初回、[エポック]、[人気の Web サイト]、[DDoS トロイの木馬] などがあります。 インテリジェンス タグの詳細については、アウトバウンド接続 ページをご参照ください。
[悪意のあるダウンロード]、[マイナープール]、および 脅威情報 は、クラウドファイアウォールがアウトバウンド接続に関連する脅威を検出したことを示します。
説明これらのタグが付いたアウトバウンドアクティビティは、誤検知がないか速やかに調査する必要があります。アクティビティが悪意のあるものであると確認した場合は、アクセス制御ポリシーを設定して管理してください。詳細については、「インターネット境界ファイアウォールのアクセス制御ポリシーの設定」をご参照ください。
[初回]：Cloud Firewall がこのアウトバウンド接続を初めて検出したことを示します。
[Epoch]：アセットが指定されたドメインまたは宛先 IP アドレスに定期的に接続することを示します。
[Popular Website]：サーバーまたはサービスが頻繁にアクセスするドメインを示します。
[DDoS Trojan]：Cloud Firewall が DDoS 攻撃の脅威に関連するアウトバウンド接続を検出したことを示します。
トラフィック接続問題のトラブルシューティング方法
トラフィックが Cloud Firewall を通過する際に、以下の問題が発生することがあります：
サーバーにログインできない。
サーバーで実行中のサービスにアクセスできない。
サーバーがインターネットにアクセスできない。
これらの問題を解決するには、インターネット境界ファイアウォールと内部ファイアウォールの両方を調査します。
インターネット境界ファイアウォール
アセットに対してインターネット境界ファイアウォールが有効になっていることを確認してください。
トラフィックは、インターネット境界ファイアウォールが有効になった後にのみ Cloud Firewall を通過します。ファイアウォールを有効にする方法の詳細については、「インターネット境界ファイアウォール」をご参照ください。
説明アセットに対してインターネット境界ファイアウォールが有効になっていない場合、トラフィックは Cloud Firewall を通過しません。この場合、ネットワーク接続の問題など、他の問題を確認する必要があります。
トラフィックログ タブで対応するトラフィックレコードを確認します。
トラフィックログが見つからない場合、トラフィックはファイアウォールに到達する前にドロップされました。
トラフィックログが存在し、アクションが 破棄 である場合、そのトラフィックはインターネットファイアウォールによって破棄されています。この場合、イベントログ リストで対応するトラフィックを検索し、ソースの判定 列を確認して、トラフィックをブロックしたモジュールを特定します。
ソースが アクセス制御 の場合、いずれかのアクセス制御ポリシーによってトラフィックがブロックされています。ポリシー設定を確認して変更してください。
ソースが基本的な保護、仮想パッチ、または脅威情報の場合、トラフィックは侵入防止ポリシーによってブロックされました。 ページに移動して、該当のポリシーを無効化できます。
トラフィックログが存在し、アクションが リリース または [監視] である場合、そのトラフィックはインターネットファイアウォールによってブロックされていません。この場合、引き続き内部ファイアウォール (セキュリティグループ) のポリシーのトラブルシューティングを行う必要があります。
内部ファイアウォール (セキュリティグループ)
ECS コンソール にログインします。
左側のナビゲーションペインで、 を選択します。
接続に問題が発生している ECS インスタンスを特定します。セキュリティグループ タブの [セキュリティグループリスト] タブで、セキュリティグループのルールがトラフィックを許可していることを確認します。許可ポリシー は 許可 に設定されている必要があります。
ルール評価順序
Cloud Firewall では、ネットワークトラフィックは以下の順序でルールに対して評価されます：
アクセス制御ポリシー (ACL)
アクセス制御ポリシーを有効にすると、システムはまずトラフィックをポリシーのルールと照合します：トラフィックが [Deny] アクションのルールに一致した場合、即座にブロックされ、それ以上の評価は行われません。
トラフィックが [Allow] または [Monitor] アクションのルールに一致した場合、またはどの ACL ルールにも一致しなかった場合、評価は次の段階に進みます。
[脅威インテリジェンス] (TI)
システムは、トラフィックを脅威インテリジェンスデータベースと照合します:トラフィックが脅威に一致し、アクションが [Block] の場合、評価は停止します。
それ以外の場合、評価は次の段階に進みます。
侵入防止システム (IPS) モジュール
侵入防止システム (IPS) モジュールは、基本的な保護、インテリジェント防御、および 仮想パッチ のルールセットに対してトラフィックを評価します。 これら 3 つのルールセットには 特定の優先順位はなく、システムは すべてのルールセットとトラフィックを照合します。 いずれかのルールが ブロック アクションをトリガーした場合、トラフィックはドロップされます。 それ以外の場合、すべてのチェックが完了した後にトラフィックは許可されます。
ACL、TI、および IPS モジュールは独立しており、順次評価されます。評価プロセスは、モジュールがトラフィックをブロックした場合にのみ停止します。それ以外の場合、評価は後続のすべてのモジュールを通じて継続されます。
インターネット公開の検知
Cloud Firewall はインバウンドトラフィックデータを分析して、公開されたパブリック IP アドレス、開いているポート、公開されているアプリケーション、クラウドサービスのパブリック IP などの異常を検出します。インターネット公開の詳細の表示方法については、「インターネット公開」をご参照ください。
帯域幅制限を超えるトラフィック
トラフィック超過への対応
サービストラフィックが購入した帯域幅仕様を超えた場合、サービスレベルアグリーメント (SLA) は保証されません。この超過は、アクセス制御、IPS、ログ監査などのセキュリティ機能の無効化、高トラフィックアセットのファイアウォールバイパス、レート制限によるパケット損失などのサービス低下を引き起こす可能性があります。
トラフィックが購入した制限を超えると予想される場合は、サブスクリプション弾性トラフィックの従量課金機能を使用してください。
異常なトラフィックのトラブルシューティング方法については、「インターネット境界での異常なトラフィックのトラブルシューティング」をご参照ください。
帯域幅のアップグレード方法については、「更新」をご参照ください。
トラフィック超過通知の設定
トラフィック超過の通知には、トラフィック超過通知 と トラフィック超過警告 の 2 種類があります。
トラフィック超過通知：いずれかの境界 (インターネット境界、VPC 境界、または NAT 境界) のトラフィックが制限を超えた場合に、当日のリアルタイム統計を提供します。
トリガーロジック：制限を超過してから 10 分の遅延で通知が送信されます。アラートは 24 時間 365 日送信されます。
送信ロジック：通知は 1 日に 1 回のみ送信されます。
注：サブスクリプション弾性トラフィックの従量課金機能を使用している場合、トラフィック超過通知は受信されなくなります。
超過から 10 分以内に帯域幅をアップグレードした場合、アラートはトリガーされません。
トラフィック超過警告：トラフィックが事前に定義されたしきい値を超えた場合に、リアルタイム統計 (10 分の遅延あり) を提供します。現在、トラフィック超過警告はインターネット境界でのみサポートされています。NAT 境界では利用できません。
トリガーロジック：現在のトラフィックが設定された警告しきい値を超えています。
警告内容のロジック：通知には、過去 24 時間のピーク帯域幅と警告しきい値を超えた回数が含まれます。30 分間隔内のいずれかの時点でしきい値を超えた場合、イベントとしてカウントされます。
送信ロジック：警告は 1 日に 1 回のみ送信されます。その日にすでにトラフィック超過通知が送信されている場合、警告は送信されません。
サブスクリプション弾性トラフィックの従量課金機能を有効にしている場合、警告は送信されません。
警告は 24 時間送信されます。
サポートされている通知の種類と設定方法については、「アラート」をご参照ください。
予期せぬトラフィック超過への対応
タイムリーに管理できない短期的なトラフィックバーストが予想される場合は、Cloud Firewall のサブスクリプション弾性トラフィックの従量課金機能を使用してください。
サブスクリプション弾性トラフィックの従量課金機能は、サブスクリプションプランに含まれるクォータを超えるトラフィックに対する後払いモデルです。このモデルでは、既存のサブスクリプション請求方法を変更することなく、実際の使用量に基づいて超過トラフィックの料金を支払うことができます。詳細については、「サブスクリプション弾性トラフィックの従量課金」をご参照ください。
このシナリオは、すべてのトラフィックが後払いで請求されるため、従量課金版には適用されません。