ESA は、サービスヘルスを監視し、攻撃を調査し、軽減ポリシーを最適化するための DDoS 分析 と 攻撃詳細 ダッシュボードを提供します。過去 30 日間のネットワーク層およびアプリケーション層の攻撃に関する統計を表示できます。
この機能は、[Enterprise] プランをご利用のお客様のみが利用できます。
分析ダッシュボード
[DDoS 分析] タブには、正当な使用と悪意のあるアクティビティを区別するのに役立つトラフィックパターンが表示されます。最大 30 日間の期間でフィルタリングできます。
ネットワーク層 (L3/L4) メトリクス
これらのメトリクスは、ネットワーク容量を飽和させるボリューム型攻撃を特定します。
帯域幅 (ビット/秒 (bps))：攻撃トラフィックの量を測定します。bps 値が高い場合は、利用可能なネットワーク帯域幅を消費するフラッド攻撃を示します。攻撃トラフィックが帯域幅容量の 95% を超えると、正当なトラフィックの配信が中断されます。
パケットレート (パケット/秒 (pps))：パケットの量を測定します。帯域幅が低い場合 (> 1 M) でも pps 値が高い場合は、サーバーおよびネットワークハードウェアの処理能力を枯渇させる攻撃を示している可能性があります。
両方のメトリクスを分析することで、攻撃シグネチャが明らかになります。大きなパケットのフラッドは高い bps と低い pps を示し、コネクションフラッドは低い bps と高い pps を示します。いずれかのメトリクスが欠落している場合、軽減ポリシーが失敗する可能性があります。pps の監視がなければ、プロトコルスタックのリソースを枯渇させる低帯域幅高強度攻撃が検出されません。
bps および pps データを表示するには、次の手順を実行します：
ESA コンソールで、サイト管理 を選択し、サイト 列で対象のサイトをクリックします。
左側のメニューで、 を選択します。
DDoS ページで、DDoS 分析 タブ、次に ネットワーク層 タブの順にクリックします。
時間フィルターセクションで、期間を選択します。選択した期間の詳細な [ネットワーク層] トラフィックがコンソールに表示されます。ESA は、その期間内の 攻撃帯域幅のピーク と 攻撃パケットレートのピーク の統計も提供します。
アプリケーション層 (L7) メトリクス
秒間クエリ数 (QPS)：1 秒あたりに受信した HTTP/HTTPS リクエストの数です。QPS は、レイヤー 7 攻撃を検出するための重要なメトリクスです。bps または pps が急増するネットワーク層攻撃とは異なり、レイヤー 7 攻撃は通常のユーザーを模倣し、QPS の突然の急増として現れます。これは、CPU とメモリを枯渇させる HTTP フラッドの兆候です。
QPS データを表示するには、次の手順を実行します：
ESA コンソールで、サイト管理 を選択し、サイト 列で対象のサイトをクリックします。
左側のメニューで、 を選択します。
DDoS ページで、DDoS 分析 タブ、次に アプリケーション層 タブの順にクリックします。
時間フィルターセクションで、期間を選択します。選択した期間の詳細な [アプリケーション層] トラフィックがコンソールに表示されます。ESA は、その期間内の HTTP スクラビング中のトラフィックピーク と HTTPS スクラビング中のトラフィックピーク の統計も提供します。
トラフィックスクラビングイベント
大規模な DDoS 攻撃の際、ESA はトラフィックスクラビングを実行します。これは、悪意のあるトラフィックを正当なリクエストから分離し、攻撃パケットを破棄するリアルタイムフィルタリングです。クリーンなトラフィックのみがオリジンサーバーに到達します。攻撃タイプが異なると、異なるレイヤーでスクラビングがトリガーされます。
ネットワーク層スクラビングイベント：攻撃が 5 Gbps 以上に達するとトリガーされます。
アプリケーション層スクラビングイベント：ESA は、ディープラーニングを用いてドメインアクセスの QPS ベースラインとオリジンサーバーのステータスコードから異常を検出し、サービス規模に比例してトラフィックをスクラビングします。
スクラビングイベントの記録を表示するには、次の手順を実行します：
ESA コンソールで、サイト管理 を選択し、サイト 列で対象のサイトをクリックします。
左側のメニューで、 を選択します。
DDoS ページで、DDoS 分析 タブをクリックします。必要に応じて、ネットワーク層 または アプリケーション層 タブをクリックできます。ページの下部までスクロールして、スクラビングイベントの詳細を表示します。
攻撃の詳細
[攻撃の詳細] タブには、検出および緩和されたすべての DDoS 攻撃がログに記録されます。時間と攻撃タイプでフィルタリングして、特定のインシデントを調査できます。このビューを使用して、次のことができます。
Web サイトを標的とする攻撃タイプの傾向を特定できます。
攻撃規模のピークを確認できます。
攻撃を他のインフラストラクチャインシデントと関連付けることができます。
攻撃の詳細を表示するには、次の手順を実行します：
ESA コンソールで、サイト管理 を選択し、サイト 列で対象のサイトをクリックします。
左側のメニューで、 を選択します。
DDoS ページで、攻撃詳細 タブをクリックします。ドロップダウンリストから攻撃タイプと期間を選択して、ボリューム型攻撃のピーク値、Web リソース枯渇型攻撃のピーク、アプリケーションレイヤ攻撃のピーク値、および攻撃イベントの詳細を表示します。