Cloud Firewall:Network traffic analysis FAQ

O tráfego pode ser classificado como Unknown pelos seguintes motivos:

• Grandes volumes de tráfego de entrada da internet podem não usar protocolos padrão. Consequentemente, o Cloud Firewall não identifica o tipo de aplicativo.

• Um servidor de destino pode bloquear o tráfego de rede e enviar muitos pacotes RST. O sistema registra esses pacotes como tráfego de entrada ou saída. Se o volume for elevado, a proporção de tráfego Unknown aumenta.

Uma tag de inteligência é um atributo que o Cloud Firewall atribui automaticamente a um domínio de saída ou endereço IP de destino com base em informações públicas. Os exemplos incluem Malicious Download, Miner Pool, Threat Intelligence, First Time, Epoch, Popular Website e DDoS Trojan. Para obter mais informações sobre tags de inteligência, acesse a página Outbound Connection.

• Malicious Download, Miner Pool e Threat Intelligence: Indicam que o Cloud Firewall detectou uma ameaça associada a uma conexão de saída.

  Nota

  Investigue prontamente as atividades de saída com essas tags para verificar possíveis falsos positivos. Se confirmar que a atividade é maliciosa, configure uma política de controle de acesso para gerenciá-la. Para obter mais informações, consulte Configurar políticas de controle de acesso para o firewall de Internet.

• First Time: Indica que o Cloud Firewall detectou essa conexão de saída pela primeira vez.

• Epoch: Indica que seu ativo se conecta periodicamente ao domínio ou endereço IP de destino especificado.

• Popular Website: Indica um domínio frequentemente acessado por seus servidores ou serviços.

• DDoS Trojan: Indica que o Cloud Firewall detectou uma conexão de saída associada a uma ameaça de ataque DDoS.

Quando o tráfego passa pelo Cloud Firewall, podem ocorrer os seguintes problemas:

• Impossibilidade de fazer logon em um servidor.

• Impossibilidade de acessar serviços em execução em um servidor.

• Um servidor não consegue acessar a internet.

Firewall de Internet

1. Verifique se o firewall de Internet está ativado para seu ativo.

   O tráfego passa pelo Cloud Firewall somente após a ativação do firewall de Internet. Para obter mais informações sobre como ativar o firewall, consulte Firewall de Internet.

   Nota

   Se o firewall de Internet não estiver ativado para seu ativo, o tráfego não passará pelo Cloud Firewall. Nesse caso, verifique outros problemas, como falhas de conectividade de rede.

2. Verifique a aba Traffic Logs em busca de registros de tráfego correspondentes.

   • Se nenhum log de tráfego for encontrado, o tráfego foi descartado antes de chegar ao firewall.

   • Se existirem logs de tráfego e a ação for Drop, o firewall de Internet descartou o tráfego. Nesse cenário, localize o tráfego correspondente na lista Event Logs e verifique a coluna Judgement Source para identificar o módulo que bloqueou o tráfego.

     • Se a origem for Access Control, uma de suas políticas de controle de acesso bloqueou o tráfego. Revise e modifique a configuração da política.

     • Caso a origem seja Basic Protection, Virtual Patching ou Threat Intelligence, uma política de prevenção de intrusão bloqueou o tráfego. Acesse a página Protect > IPS Configuration para desativar a política responsável.

   • Se existirem logs de tráfego e a ação for Allow ou Monitor, o firewall de Internet não descartou o tráfego. Nessa situação, continue a solução de problemas na política do firewall interno (grupo de segurança).

Firewall interno (grupo de segurança)

1. Faça logon no console do ECS.

2. No painel de navegação à esquerda, escolha Instances & Images > Instance.

3. Localize a instância ECS com problemas de conectividade. Na aba Security Group, acesse a aba Security Group List e verifique se as regras do grupo de segurança permitem o tráfego. A Authorization policy deve estar definida como Allow.

No Cloud Firewall, o tráfego de rede é avaliado em relação às regras na seguinte ordem:

1. Política de controle de acesso (ACL): Se você ativar uma política de controle de acesso, o sistema primeiro compara o tráfego com as regras da política:

   • Se o tráfego corresponder a uma regra com a ação Deny, ele será bloqueado imediatamente e nenhuma avaliação adicional ocorrerá.

   • Se o tráfego corresponder a uma regra com a ação Allow ou Monitor, ou se nenhuma regra ACL for correspondida, a avaliação continuará para a próxima etapa.

2. Threat Intelligence (TI): Em seguida, o sistema compara o tráfego com o banco de dados de Threat Intelligence:

   • Se o tráfego corresponder a uma ameaça e a ação for Block, a avaliação será interrompida.

   • Caso contrário, a avaliação continuará para a próxima etapa.

3. Módulo do Sistema de Prevenção de Intrusão (IPS): O módulo do Sistema de Prevenção de Intrusão (IPS) avalia o tráfego em relação aos conjuntos de regras Basic Protection, Intelligent Defense e Virtual Patching. Esses três conjuntos de regras não possuem prioridade específica, e o sistema compara o tráfego com todos eles. Se qualquer regra acionar uma ação Block, o tráfego será descartado. Caso contrário, o tráfego será permitido após a conclusão de todas as verificações.

Como lidar com excessos de tráfego

Se o tráfego do seu serviço exceder a especificação de largura de banda adquirida, o acordo de nível de serviço (SLA) não será garantido. Esse excesso pode causar degradação do serviço, incluindo, mas não se limitando a: desativação de recursos de segurança como controle de acesso, IPS e Log Audit; bypass de firewall para ativos com alto tráfego; e perda de pacotes devido à limitação de taxa.

• Se você prevê que o tráfego excederá seu limite adquirido, utilize o recurso de tráfego elástico por assinatura com pagamento conforme o uso.

• Para obter informações sobre como solucionar problemas de tráfego incomum, consulte Solucionar problemas de tráfego incomum na borda da Internet.

• Para obter informações sobre como aumentar sua largura de banda, consulte Renovação.