Saiba como identificar rapidamente ativos de negócios específicos quando o tráfego total na borda da internet excede a largura de banda protegida adquirida ou quando ocorrem picos repentinos, quedas ou outras anomalias. Isso permite gerencie seus ativos de negócios com maior granularidade.
Como o Cloud Firewall calcula o tráfego da borda da internet
O Cloud Firewall mede o tráfego na borda da internet considerando o maior valor entre os picos de largura de banda do tráfego total de entrada e de saída. A largura de banda total para as direções de entrada e saída é calculada da seguinte forma:
Largura de banda de entrada = Largura de banda das solicitações de Internet Exposure + Largura de banda das respostas de Internet Exposure
Largura de banda de saída = Largura de banda das solicitações de Outbound Connection + Largura de banda das respostas de Outbound Connection
O pico de largura de banda no Cloud Firewall é calculado a partir de dados agregados ao longo do tempo. Isso significa que a largura de banda total em um determinado momento corresponde à soma das larguras de banda de solicitação e resposta naquele instante. No entanto, os picos de largura de banda reportados para solicitações e respostas representam os valores mais altos registrados em qualquer ponto dentro do período de agregação. Esses picos podem não ocorrer simultaneamente. Portanto, o pico total de largura de banda em um momento específico é sempre menor ou igual à soma do pico de largura de banda de solicitação e do pico de largura de banda de resposta.
Quando solucionar problemas de tráfego incomum
Analise seu tráfego ao observar picos ou quedas incomuns para localizar os IPs dos ativos específicos envolvidos e compreender os detalhes dos padrões de tráfego. Por exemplo, identifique o IP do ativo específico que está fazendo com que seu tráfego total exceda a largura de banda protegida adquirida.
Procedimento
Etapa 1: Identificar a direção do tráfego anormal
Faça login no console do Cloud Firewall. No painel de navegação à esquerda, clique em Overview.
-
Na página Overview, examine o gráfico Traffic Trend para encontrar o momento em que ocorreu um pico incomum na direção de entrada ou de saída.
A figura a seguir mostra um exemplo em que tanto o tráfego de entrada quanto o de saída excederam a largura de banda adquirida às 15:00 do dia 10 de outubro.
NotaQuando o tráfego excede a largura de banda protegida adquirida, o gráfico de tendências exibe uma linha representando essa largura de banda. Isso permite visualize o quanto o tráfego ultrapassou o limite.
Etapa 2: Localizar o IP do ativo anormal
As etapas a seguir usam o tráfego de entrada como exemplo. O procedimento para solucionar problemas de tráfego de saída é semelhante, diferindo apenas na localização do gráfico de tendências de tráfego. Para tráfego de entrada, acesse a aba . Para tráfego de saída, acesse a aba .
Na página Overview, na seção Traffic Trend, clique em no valor de pico de entrada para acesse a aba . Visualize o pico de largura de banda de entrada às 15:00 do dia 10 de outubro.
-
Clique em no carimbo de data/hora 15:00 na linha do tempo. A lista de endereços IP públicos exibe uma classificação do tráfego total de todos os seus ativos de negócios naquele momento. Utilize essa classificação para identificar o ativo com tráfego incomum.
Neste exemplo, o IP do ativo 182.92.XX.XX é a source do tráfego incomum, pois seu tráfego total é significativamente maior que o dos demais ativos.
-
Para detalhar os dados de tráfego do IP do ativo, clique em no endereço IP. O gráfico de tendências à direita exibe os dados de tráfego de solicitação e resposta (entrada e saída) para esse ativo específico.
Após clique em no IP do ativo, uma tag de filtro como ECS Public IP address: xxx aparece na área de filtros na parte superior da página. Use a lista à esquerda, que mostra a classificação de tráfego de entrada para cada endereço IP público, para identificar precisamente o IP com tráfego incomum.
Etapa 3: Analisar logs de tráfego
Na lista de endereços IP públicos, localize o endereço IP investigado e escolha . Essa ação redireciona você para a aba . Como você está solucionando problemas de tráfego de entrada, consulte os logs de tráfego para o IP de destino 182.92.XX.XX às 15:00 do dia 10 de outubro.
-
Revise os resultados da consulta. Verifique o Source IP Address, a Source Port e a Destination Port para determinar se o tráfego é legítimo.
Na aba Internet Border, defina condições de filtro como destination IP e time range e, em seguida, clique em Search. A tabela de resultados também exibe informações como Application (por exemplo, SMTP ou SMTPS), protocol, Direction e Action.
-
Tome medidas adicionais conforme as necessidades do seu negócio.
-
Aumentar a largura de banda do Cloud Firewall
Para mais informações, consulte Renovação.
-
Otimizar a implantação de serviços
Por exemplo, se seus serviços precisarem acesse o OSS ou o SLS da Alibaba Cloud, utilize um endpoint interno. Essa prática ajuda a economizar custos com largura de banda pública.
-
Desativar o Cloud Firewall para IPs selecionados
Para mais informações, consulte Desativar o firewall da borda da internet.
-
Consultar tráfego anormal com SQL
Para consultar rapidamente todo o tráfego relacionado a um ativo com atividade incomum, execute consultas SQL na página .
-
Consulte todos os endereços IP e portas de destino para conexões de saída de um IP de ativo incomum e ordene os resultados por volume de tráfego em ordem decrescente.
log_type:internet_log and src_ip:182.92.XX.XX | select dst_ip,dst_port,app_name,sum(in_packet_bytes) as in_B,sum(out_packet_bytes) as out_B,sum(total_packet_bytes) as total_B,array_agg(distinct if(url='', domain, url)) as url group by dst_ip,dst_port,app_name order by total_B descNesta consulta, 182.92.XX.XX é o IP do ativo.
-
Consulte todos os endereços IP e portas de source que acesse o IP do ativo por meio de Internet Exposure e ordene os resultados por volume de tráfego em ordem decrescente.
log_type:internet_log and dst_ip:182.92.XX.XX | select src_ip,dst_port,app_name,sum(in_packet_bytes) as in_B,sum(out_packet_bytes) as out_B,sum(total_packet_bytes) as total_B,array_agg(distinct url) as url group by src_ip,dst_port,app_name order by total_B descNesta consulta, 182.92.XX.XX é o IP do ativo.
Referências
Para visualize a tendência geral de tráfego dos seus ativos de negócios e verificar se ela excede o escopo de proteção adquirido, consulte Visão geral.
Para visualize como seus ativos de negócios acesse a internet, incluindo o rastreamento de tráfego de saída incomum, destinos da internet acessados pelos ativos, conexões de saída de ativos expostos à internet e conexões de saída de ativos internos, consulte Conexão de saída.
Para visualize como a internet acesse seus ativos de negócios, incluindo o rastreamento de tráfego de entrada incomum, endereços IP públicos expostos pelos ativos, portas expostas, aplicativos expostos e a quantidade de endereços IP públicos para serviços em nuvem, consulte Exposição à internet.
Para visualize informações sobre o tráfego da borda da internet, como IP de source, porta de destino, protocolo, ação, bytes de fluxo e pacotes de fluxo, consulte Auditoria de logs.
Para utilizar consultas SQL na análise de logs brutos de tráfego da borda da internet, consulte Consultar e analisar logs.