Cloud Firewall:Network traffic analysis FAQ

O tráfego pode ser classificado como Unknown pelos seguintes motivos:

• Grandes volumes de tráfego de entrada proveniente da internet podem não utilizar protocolos padrão. Consequentemente, o Cloud Firewall não consegue identificar o tipo de aplicativo.

• Um servidor de destino pode bloquear o tráfego de rede e enviar uma grande quantidade de pacotes RST. Esses pacotes são registrados como tráfego de entrada ou de saída. Se o volume desses pacotes for elevado, eles aumentam a proporção de tráfego Unknown.

Uma tag de inteligência é um atributo que o Cloud Firewall assigna automaticamente a um domínio de saída ou a um endereço IP de destino com base em informações disponíveis publicamente. Os exemplos incluem Malicious Download, Miner Pool, Threat Intelligence, First Time, Epoch, Popular Website e DDoS Trojan. Para obter mais informações sobre tags de inteligência, acesse a página Outbound Connection.

• Malicious Download, Miner Pool e Threat Intelligence: Indicam que o Cloud Firewall detectou uma ameaça associada a uma conexão de saída.

  Nota

  Investigue prontamente as atividades de saída com essas tags para verificar possíveis falsos positivos. Se você confirmar que a atividade é maliciosa, configure uma política de controle de acesso para gerenciá-la. Para mais informações, consulte {{XREF_9}}.

• First Time: Indica que o Cloud Firewall detectou essa conexão de saída pela primeira vez.

• Epoch: Indica que seu ativo se conecta periodicamente ao domínio ou endereço IP de destino especificado.

• Popular Website: Refere-se a um domínio frequentemente acessado por seus servidores ou serviços.

• DDoS Trojan: Sinaliza que o Cloud Firewall detectou uma conexão de saída associada a uma ameaça de ataque DDoS.

Quando o tráfego passa pelo Cloud Firewall, você pode encontrar os seguintes problemas:

• Impossibilidade de fazer login em um servidor.

• Falha ao acessar serviços em execução em um servidor.

• Um servidor sem acesso à internet.

Firewall de internet

1. Verifique se o firewall de internet está ativado para o seu ativo.

   O tráfego passa pelo Cloud Firewall somente após a ativação do firewall de internet. Para mais informações sobre como ativar o firewall, consulte {{XREF_10}}.

   Nota

   Se o firewall de internet não estiver ativado para o seu ativo, o tráfego não passará pelo Cloud Firewall. Nesse caso, verifique outros problemas, como falhas de conectividade de rede.

2. Consulte a aba Traffic Logs para localizar os registros de tráfego correspondentes.

   • Caso não haja logs de tráfego, significa que o tráfego foi descartado antes de chegar ao firewall.

   • Se existirem logs de tráfego e a ação for Drop, o tráfego foi descartado pelo firewall de internet. Nessa situação, localize o tráfego correspondente na lista Event Logs e verifique a coluna Judgement Source para identificar o módulo que bloqueou o tráfego.

     • Se a origem for Access Control, o tráfego foi bloqueado por uma de suas políticas de controle de acesso. Revise e modifique a configuração da política.

     • Se a origem for Basic Protection, Virtual Patching ou Threat Intelligence, o tráfego foi bloqueado por uma política de prevenção de intrusão. Acesse a página Protect > IPS Configuration para desativar a política responsável.

   • Se existirem logs de tráfego e a ação for Allow ou Monitor, o tráfego não foi descartado pelo firewall de internet. Nesse caso, continue a solução de problemas verificando a política do firewall interno (grupo de segurança).

Firewall interno (grupo de segurança)

1. Faça login no ECS console.

2. No painel de navegação à esquerda, escolha Instances & Images > Instance.

3. Localize a instância ECS que apresenta problemas de conectividade. Na aba Security Group, acesse a aba Security Group List e verifique se as regras do grupo de segurança permitem o tráfego. A Authorization policy deve estar definida como Allow.

No Cloud Firewall, o tráfego de rede é avaliado em relação às regras na seguinte ordem:

1. Política de controle de acesso (ACL): Se você ativar uma política de controle de acesso, o sistema primeiro compara o tráfego com as regras da política:

   • Se o tráfego corresponder a uma regra com a ação Deny, ele será bloqueado imediatamente e nenhuma avaliação adicional ocorrerá.

   • Se o tráfego corresponder a uma regra com a ação Allow ou Monitor, ou se nenhuma regra ACL for correspondida, a avaliação continuará para a próxima etapa.

2. Threat Intelligence (TI): Em seguida, o sistema compara o tráfego com o banco de dados de Threat Intelligence:

   • Se o tráfego corresponder a uma ameaça e a ação for Block, a avaliação será interrompida.

   • Caso contrário, a avaliação prossegue para a próxima etapa.

3. Módulo do Sistema de Prevenção de Intrusão (IPS): O módulo do Sistema de Prevenção de Intrusão (IPS) avalia o tráfego em relação aos conjuntos de regras Basic Protection, Intelligent Defense e Virtual Patching. Esses três conjuntos de regras não possuem prioridade específica, e o sistema compara o tráfego com todos eles. Se alguma regra acionar uma ação Block, o tráfego será descartado. Caso contrário, o tráfego será permitido após a conclusão de todas as verificações.

Como lidar com excessos de tráfego

Se o tráfego do seu serviço exceder a especificação de largura de banda adquirida, o acordo de nível de serviço (SLA) não será garantido. Esse excesso pode causar degradação do serviço, incluindo, mas não se limitando a: desativação de recursos de segurança como controle de acesso, IPS e Log Audit; desativação de firewalls para os principais ativos com excesso de tráfego; e perda de pacotes devido à limitação de taxa.

• Se você prevê que o tráfego excederá o limite adquirido, utilize o recurso {{XREF_12}}.

• Para obter informações sobre como solucionar problemas de tráfego incomum, consulte {{XREF_13}}.

• Para saber como aumentar sua largura de banda, consulte {{XREF_14}}.